MDJM : modification non autorisée des comptes utilisateurs

Veille sécuritéCMS & e-commerce

P3Élevée

MDJM Event Management et Mobile Events Manager ne vérifient pas les permissions ni la propriété de l’identifiant transmis lors de la mise à jour d’un profil client. Tout utilisateur authentifié peut modifier le mot de passe et l’adresse e-mail d’un autre compte, y compris celui d’un administrateur; la source ne précise pas de version corrective, il convient donc de désactiver les plugins en attendant un correctif confirmé.

IdentifiantCVE-2026-88799

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-88799

Analyse technique

Contrôle d’accès insuffisant sur la mise à jour du profil client; l’identifiant cible peut désigner le compte d’un autre utilisateur.

Impact, versions et correctif

Événement datéPublication de la fiche NVD le 2026-11-06, dans la période demandée.

ImpactPrise de contrôle possible de comptes, y compris d’un compte administrateur.

Versions affectéesVersions jusqu’à 1.7.8.7 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

EPSS0,29% · percentile 21,2%

Publication2026-11-06T10:17:38.130+02:00

Mise à jour2026-11-06T22:09:13.780+02:00

Action recommandée

Désactiver les plugins concernés jusqu’à l’installation d’un correctif; vérifier les changements de mots de passe et d’adresses e-mail des comptes.

Sources

NVD — CVE-2026-88799

Priorisation DFS : P3 · 1 source(s).