MDJM Event Management et Mobile Events Manager permettent à un utilisateur authentifié de créer un rôle à partir d’un nom fourni dans la requête, sans vérification de capacité ni nonce, et enregistrent ce nom sans échappement. Un attaquant peut ainsi injecter des scripts exécutés lorsqu’un administrateur ouvre des écrans standards de gestion des utilisateurs; la source ne précise pas de version corrective, donc désactiver les plugins en attendant un correctif confirmé.
Source : NVD — CVE-2026-88801
Analyse technique
Création de rôle sans contrôle de capacité ni nonce; le nom du rôle est stocké sans échappement et peut conduire à une injection de scripts dans les écrans de gestion des utilisateurs.
Impact, versions et correctif
Action recommandée
Désactiver les plugins concernés jusqu’à l’installation d’un correctif; examiner les rôles créés et les écrans de gestion des utilisateurs.
Sources
Priorisation DFS : P3 · 1 source(s).