كل الثغرات
CVE-2026-84745
منخفضة
CVSS 2.7
The Events Calendar — كشف محتوى أحداث وأماكن ومنظِّمين غير عامة عبر REST API
| المورّد | StellarWP (The Events Calendar) |
|---|---|
| المنتج | The Events Calendar |
| النسخ المتأثرة | < 6.17.3.1 |
| صنف الضعف | CWE-200 |
| متجه CVSS | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
| تاريخ الإبلاغ | 2026-08-12 |
| تاريخ الإفصاح | 2026-09-03 |
| الحالة | منشورة |
الإضافة لا تقوم بتقيد الوصول للمحتوى غير العام عبر أرشيفات REST API العامة، مما يسمح للمستخدمين بصلاحية Contributor فأعلى بقراءة المحتوى الكامل لكل الفعاليات (Events) والأماكن (Venues) ومنظمي الفعاليات (Organizers) غير المنشورة بالموقع، حتى لو أنشأها مستخدمون آخرون.
الأثر
يستطيع مستخدم مصادَق بصلاحية منخفضة تعداد وقراءة سجلات الأحداث والأماكن والمنظِّمين المسودّة والخاصة العائدة لمستخدمين آخرين عبر REST API، وهي مشكلة كشف معلومات قد تُظهر تفاصيل أحداث غير معلنة أو ملاحظات داخلية أو بيانات شخصية للمنظِّمين والأماكن قبل نشرها.
إفصاحات ذات صلة
متوسطة
Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN
متوسطة
Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA
منخفضة
Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي
منخفضة
The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+
عرض الكل