Aller au contenu
Se connecter
9.1 Critique

CVE-2026-88800 MDJM Event Management and Mobile Events Manager <= 1.7.8.7 - Unauthenticated Arbitrary Role Deletion

Description

The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 act on a role deletion request on every page load with no capability check and no nonce, and the guard meant to protect roles that have users assigned reads a different part of the request from the one that selects what is deleted, allowing unauthenticated attackers to remove any WordPress role including administrator, which permanently strips every user of their capabilities.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque
Réseau
Complexité
Faible
Privilèges requis
Aucun
Interaction
Aucune
Portée
Inchangée
Confidentialité
Aucun
Intégrité
Élevé
Disponibilité
Élevé

Produits et versions touchés

Produit Versions touchées Corrigé en
MDJM Event Management 1.7 premières → 1.7.8.7 Pas de correctif indiqué
Mobile Events Manager 1.7 premières → 1.7.8.7 Pas de correctif indiqué

Autres CVE de MDJM Event Management

Les 4 CVE de MDJM Event Management →
CVE-2026-88801 MDJM Event Management and Mobile Events Manager <= 1.7.8.7 - Subscriber+ Stored XSS via Role Creation 8.0 Élevée CVE-2026-88799 MDJM Event Management and Mobile Events Manager <= 1.7.8.7 - Subscriber+ Account Takeover via IDOR 8.8 Élevée CVE-2026-88802 The MDJM Event Management WordPress plugin before 1.7.8.5 and the Mobile Events Manager WordPress plugin through 1.4.8.3… 7.5 Élevée
Suivre cette CVE