CVE-2025-1402: luka w wtyczce Event Tickets umożliwiająca nieautoryzowane usuwanie biletów

Co wiadomo

Wtyczka Event Tickets and Registration dla WordPressa do wersji 5.19.1.1 zawiera lukę polegającą na braku weryfikacji uprawnień w funkcji 'ajax_ticket_delete'. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie Współtwórcy na usuwanie dowolnych biletów uczestników.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanej utraty danych biletów, co wpływa na zarządzanie wydarzeniami i może zakłócić proces rejestracji uczestników. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko ingerencji w dane oraz możliwe zakłócenia w działaniu systemu sprzedaży biletów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Event Tickets i ich wdrożenie. W przypadku braku łatki warto ograniczyć dostęp użytkowników do poziomu niższego niż Współtwórca oraz monitorować logi pod kątem podejrzanych działań związanych z usuwaniem biletów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference