→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-88800 · mdjm-event-management-and-mobile-events-manager

حذف غیرمجاز نقش‌های کاربری بدون احراز هویت در افزونه MDJM Event Management

افزونه MDJM Event Management and Mobile Events Manager تا نسخه ۱.۷.۸.۷ درخواست حذف نقش را در هر بارگذاری صفحه، بدون بررسی سطح دسترسی و بدون نانس، پردازش می‌کند. کنترلی که باید از حذف نقش‌های دارای کاربر جلوگیری کند، بخشی از درخواست را می‌خواند که با بخشی که نقش حذف‌شونده را مشخص می‌کند متفاوت است؛ بنابراین مهاجم احراز هویت‌نشده می‌تواند هر نقش وردپرس، از جمله مدیر، را حذف کند و قابلیت‌های همه کاربران را به‌طور دائمی از بین ببرد. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال وب محدود کنید.