CVE-2026-93662: утечка черновиков событий и адресов в Events Manager

В плагине Events Manager для WordPress выявлена уязвимость, связанная с недостаточной проверкой области видимости при поиске событий и площадок. Пользователь с минимальными правами может обойти ограничения и получить доступ к данным, которые ему видеть не положено.

Подробности

Уязвимости подвержены версии Events Manager с 7.4.1 по 7.4.4 включительно. Исправление выпущено в версии 7.4.5. Суть проблемы — в параметре owner. Плагин не ограничивает область поиска событий и локаций для авторизованных пользователей, когда вызывающий сам передаёт значение owner. В результате пользователь с ролью уровня Subscriber и выше может указать чужой идентификатор владельца и получить доступ к содержимому другого аккаунта. Под утечку попадают: - неопубликованные события (черновики, отложенные, отклонённые); - события в корзине; - неопубликованные и удалённые площадки (venues); - полные уличные адреса площадок. Тип уязвимости — раскрытие информации (CWE-639, обход авторизации через ключ, контролируемый пользователем). Значение CVSS в записи CVE не указано. По характеру проблемы её можно оценить как среднюю по критичности: эксплуатация не требует особых привилегий, но и не позволяет напрямую выполнить код или повысить права — речь идёт именно об утечке данных. Практическая опасность заключается в том, что черновики событий и адреса площадок нередко содержат чувствительную информацию: внутренние заметки, персональные данные организаторов, точные локации. Утечка адресов может использоваться для дальнейшей разведки перед целевыми атаками.

Что делать

Основная рекомендация — обновить Events Manager до версии 7.4.5 или более поздней. Патч устраняет возможность подмены значения owner и принудительно ограничивает область поиска правами текущего пользователя. Если обновление невозможно в ближайшее время, рассмотрите временные меры: - ограничьте регистрацию и роли с низкими привилегиями, если они не нужны на сайте; - проверьте, какие роли имеют доступ к функционалу поиска событий; - включите журналирование подозрительных запросов с параметром owner; - проанализируйте логи на предмет обращений к неопубликованным событиям и площадкам от пользователей без соответствующих прав. Также стоит проверить, не утекали ли адреса площадок: если на сайте хранятся чувствительные локации, имеет смысл уведомить ответственных за них лиц. Важно помнить, что уязвимость эксплуатируется изнутри — злоумышленнику нужен хотя бы минимальный авторизованный аккаунт. Поэтому отдельное внимание стоит уделить контролю за регистрацией и модерации новых пользователей. Итог: CVE-2026-93662 — это уязвимость раскрытия информации в популярном WordPress-плагине событий. Она не приводит к захвату сайта напрямую, но открывает доступ к закрытым данным и адресам. Единственный надёжный способ защиты — обновление до Events Manager 7.4.5. Всем сайтам на уязвимых версиях рекомендуется провести обновление в приоритетном порядке и проверить логи на признаки эксплуатации.

Источник: CVE Project (cvelistV5)