CVE-2026-9228
El plugin Timetable and Event Schedule by MotoPress para WordPress es vulnerable a Insecure Direct Object Reference en todas las versiones hasta y inclusive la 2.4.16 a través de la acción action_get_event_data debido a la falta de validación en una clave controlada por el usuario. Esto permite que los atacantes autenticados, con acceso de nivel contribuidor o superior, enumeren IDs de timeslots e lean el objeto completo WP_Post — incluyendo post_content, post_excerpt, post_status y post_author — de publicaciones mp-event en estado borrador, pendiente y privado pertenecientes a otros usuarios, junto con sus descripciones de timeslot asociadas.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org