CVE-2026-18366
Events Manager < 7.4.1 - Escalada de privilegios no autenticada a administrador
- Publicado
- 12 ago 2026
- Actualizado
- 12 ago 2026
- Asignación de CNA
- WPScan
- Evidencia observada
- 24 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 41,0 %
- Fecha del modelo
- 13 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin de WordPress Events Manager anterior a la versión 7.4.1 no delimita correctamente el alcance de su mapeo de capacidades, descartando las decisiones de control de acceso que WordPress ya había tomado para acciones privilegiadas no relacionadas, lo que permite a usuarios no autenticados cambiar la contraseña de cualquier cuenta, escalarla a Administrador o eliminarla, siempre que su ID de usuario coincida con el ID de una de las entradas propias del plugin de WordPress Events Manager anterior a la versión 7.4.1.
Fuentes
- CVE-2026-18366Exploit
PoC de escalada de privilegios no autenticada para WordPress Events Manager < 7.4.1; descubre IDs de publicación/usuario en colisión y escala objetivos a administrador mediante REST o wp-admin.
- CVE-2026-18366Exploit
Events Manager < 7.4.1 - Escalada de privilegios no autenticada a Administrador
Exploit code para CVE-2026-18366, una prueba de concepto que demuestra la vulnerabilidad.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.