CVE-2026-93661: IDOR в Events Manager позволяет перезаписывать любые тикеты

Введение

В популярном WordPress-плагине Events Manager, предназначенном для управления мероприятиями и продажи билетов, выявлена уязвимость, связанная с небезопасной прямой ссылкой на объект (IDOR). Она позволяет злоумышленнику с ограниченными правами вмешиваться в данные тикетов, принадлежащих другим мероприятиям и пользователям.

Подробности

Уязвимость затрагивает Events Manager версий ниже 7.4.5. Согласно описанию CVE-2026-93661, плагин не препятствует тому, чтобы запрос на обновление тикета подменял идентификаторы объекта, относительно которого была проведена авторизация. Иными словами, пользователь, имеющий право управлять тикетами одного мероприятия, может изменить идентификаторы в запросе и переназначить произвольный тикет сайта на своё мероприятие.

Тип уязвимости — IDOR (Insecure Direct Object Reference), приводящий к несанкционированной перезаписи данных. Для эксплуатации достаточно учётной записи уровня Contributor и выше, обладающей возможностью управлять тикетами хотя бы одного события. Конкретное значение CVSS в записи CVE не указано, однако характер уязвимости (горизонтальное и вертикальное расширение прав, изменение чужих данных) позволяет отнести её к высокому уровню риска. Точные версии продукта в записи обозначены как «Unknown Events Manager».

Что делать

Основная рекомендация — обновить плагин Events Manager до версии 7.4.5 или более поздней. Перед обновлением следует создать резервную копию базы данных и файлов сайта.

Если обновление невозможно в ближайшее время, рекомендуется временно ограничить круг пользователей, имеющих право управлять тикетами, оставив его только доверенным администраторам. Также стоит проверить журналы активности на предмет подозрительных изменений тикетов и их переназначений между мероприятиями. Дополнительной мерой может стать ограничение доступа к административной части сайта по IP-адресам.

Итог

CVE-2026-93661 представляет серьёзную угрозу для сайтов, использующих Events Manager для продажи и управления билетами: злоумышленник с минимальными правами способен перезаписывать и переназначать тикеты на всём сайте. Единственный надёжный способ устранения — установка версии 7.4.5 или новее. До обновления следует применять компенсирующие меры и внимательно следить за активностью пользователей с правом управления тикетами.

Источник: CVE Project (cvelistV5)