CVE-2026-91077: Event Booking Manager for WooCommerce раскрывает черновики и приватные события
В плагине Event Booking Manager for WooCommerce (версии 5.3.6–5.7.2) обнаружена уязвимость раскрытия неопубликованных событий. Пользователи с ролью Contributor и выше могут получать чужие приватные, черновые и удалённые события. Проблема закрыта в версии 5.7.3.
Подробности
Уязвимость затрагивает версии плагина Event Booking Manager for WooCommerce с 5.3.6 по 5.7.2 включительно. Согласно описанию CVE, функцияmpwem_load_event_list не ограничивает выборку событий только теми записями, которые запрашивающий пользователь имеет право читать. В результате пользователь с ролью Contributor (и любыми более привилегированными ролями) может получить список чужих приватных, черновых и находящихся в корзине событий, а также дополнительные сведения о них, которые обычный листинг не отображает.
По сути, плагин игнорирует встроенный в WordPress механизм разграничения доступа и не проверяет наличие у пользователя возможности read_private_posts. Это приводит к раскрытию информации (Information Disclosure): злоумышленник с минимальными правами автора получает доступ к содержимому ещё не опубликованных или намеренно скрытых мероприятий других авторов. Это может включать описания, внутренние заметки, даты, контактные данные и прочие детали, не предназначенные для посторонних.
Оценка CVSS в записи CVE не указана. Уровень риска можно охарактеризовать как средний: уязвимость требует аутентификации с ролью Contributor, но эксплуатация не сложна и не требует взаимодействия с жертвой, что в сочетании с распространённостью ролей авторов на сайтах делает её практически значимой. Тип уязвимости — CWE-862 (Missing Authorization) в трактовке, соответствующей описанию.
Что делать
Основная и единственная надёжная мера — обновить плагин Event Booking Manager for WooCommerce до версии 5.7.3 или более поздней. В этой версии ограничение выборки событий приведено в соответствие с правами пользователя. Если обновление невозможно в ближайшее время, рекомендуется рассмотреть временные компенсирующие меры:- пересмотреть роли пользователей и снизить число аккаунтов с правами Contributor и выше до необходимого минимума;
- по возможности ограничить доступ к административной части сайта и к AJAX-эндпоинтам плагина для недоверенных пользователей;
- включить логирование обращений к функциям плагина и мониторить подозрительную активность авторов;
- проверить, не получали ли сторонние пользователи доступ к приватным событиям, и при необходимости сменить чувствительные данные.
Источник: CVE Project (cvelistV5)