كل الثغرات
CVE-2026-84745 منخفضة CVSS 2.7

The Events Calendar — كشف محتوى أحداث وأماكن ومنظِّمين غير عامة عبر REST API

المورّد StellarWP (The Events Calendar)
المنتج The Events Calendar
النسخ المتأثرة < 6.17.3.1
صنف الضعف CWE-200
متجه CVSS CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N
تاريخ الإبلاغ 2026-08-12
تاريخ الإفصاح 2026-09-03
الحالة منشورة
الإضافة لا تقوم بتقيد الوصول للمحتوى غير العام عبر أرشيفات REST API العامة، مما يسمح للمستخدمين بصلاحية Contributor فأعلى بقراءة المحتوى الكامل لكل الفعاليات (Events) والأماكن (Venues) ومنظمي الفعاليات (Organizers) غير المنشورة بالموقع، حتى لو أنشأها مستخدمون آخرون.

الأثر

يستطيع مستخدم مصادَق بصلاحية منخفضة تعداد وقراءة سجلات الأحداث والأماكن والمنظِّمين المسودّة والخاصة العائدة لمستخدمين آخرين عبر REST API، وهي مشكلة كشف معلومات قد تُظهر تفاصيل أحداث غير معلنة أو ملاحظات داخلية أو بيانات شخصية للمنظِّمين والأماكن قبل نشرها.

إفصاحات ذات صلة

عرض الكل