یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-93661 در افزونه Events Manager وردپرس (نسخه‌های پیش از 7.4.5) شناسایی شده است. این نقص امنیتی به دلیل عدم اعتبارسنجی صحیح در درخواست‌های به‌روزرسانی بلیت (Ticket Update) رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
در نسخه‌های آسیب‌پذیر، این افزونه اجازه می‌دهد تا یک کاربر که دسترسی مدیریت بلیت‌های یک رویداد خاص را دارد، شناسه‌های (Identifiers) بلیت‌هایی که برای آن‌ها مجوز دسترسی ندارد را در درخواست خود جایگزین کند. این نقص منجر به ایجاد یک وضعیت Broken Access Control می‌شود که در آن مهاجم می‌تواند هر بلیت موجود در سایت را بازنویسی کرده و آن را به رویداد تحت مدیریت خود اختصاص دهد.
تاریخچه امنیتی افزونه
بررسی سوابق این افزونه نشان می‌دهد که Events Manager در گذشته نیز با آسیب‌پذیری‌های متعددی روبرو بوده است، از جمله:
- SQL Injection: تزریق کدات در نسخه‌های پیش از 7.4.1 که منجر به نشت داده‌ها یا دسترسی غیرمجاز می‌شد.
- Privilege Escalation: ارتقای سطح دسترسی و تصاحب حساب‌های کاربری (Account Takeover).
- Stored XSS: آسیب‌پذیری‌های تزریق کد در تنظیمات ادمین و پارامترهای JS.
- PHP Object Injection: تزریق اشیاء PHP در نسخه‌های قدیمی‌تر.
توصیه امنیتی
به تمامی مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند توصیه می‌شود فوراً آن را به نسخه 7.4.5 یا بالاتر به‌روزرسانی کنند تا از سوءاستفاده احتمالی از این نقص امنیتی جلوگیری شود.
