CVE-2026-9701: klucz resetu hasła zapisany otwartym tekstem we wtyczce Eventer (CVSS 9.8)

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-9701
Źródło alertu	GitHub Advisory - Krytyczna podatność
Rok publikacji CVE	2026
Data publikacji	2026-07-08
Producent	WordPress
Produkt	Eventer
CVSS Score	9.8 (Krytyczny)
EPSS Score	Brak danych
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Źródło: NVD

Wtyczka Eventer dla WordPressa zawiera niebezpieczny mechanizm resetu hasła we wszystkich wersjach do 4.4.2 włącznie. Wtyczka zapisuje kopię klucza resetu hasła otwartym tekstem w polu metadanych użytkownika eventer_verification_code, gdy użytkownik zażąda resetu hasła. Zapisany w wp_usermeta klucz można wykorzystać we własnej akcji resetu wtyczki, aby ustawić nowe hasło dowolnemu użytkownikowi. W połączeniu z inną podatnością, taką jak SQL Injection (CVE-2026-9700), umożliwia to przejęcie konta.

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta niezwłocznie po ich udostępnieniu.

Kogo dotyczy?

Podatność dotyczy produktu Eventer firmy WordPress. Sprawdź, czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła

• NVD - CVE-2026-9701

• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.