CVE-2026-1987: Luka wtyczki Scheduler Widget dla WordPress umożliwiająca nieautoryzowaną modyfikację wydarzeń

Co wiadomo

Wtyczka Scheduler Widget dla WordPress w wersjach do 0.1.6 posiada lukę typu Insecure Direct Object Reference. Brak odpowiednich kontroli autoryzacji i weryfikacji właściciela w funkcji scheduler_widget_ajax_save_event() pozwala uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym na modyfikację dowolnego wydarzenia poprzez parametr id, jeśli znają jego identyfikator.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą zmieniać wydarzenia w harmonogramie, co może prowadzić do zakłóceń w planowaniu i potencjalnie wpływać na operacje biznesowe zależne od tych danych. Luka ta może być wykorzystana do manipulacji informacjami, co obniża integralność systemu i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyższego oraz monitorować logi pod kątem nieautoryzowanych zmian wydarzeń. Priorytetowo należy ocenić ekspozycję systemu i rozważyć dodatkowe mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference