CVE-2026-13178highCWE-639

CVE-2026-13178: fallo de gravedad alta en Eventin

Eventin < 4.1.16 - Unauthenticated Payment Bypass via Order Status Manipulation

Publicada el

Seguir esta CVE+ Monitorear Eventin

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

41Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 7.5epss 0.4%
The Eventin WordPress plugin before 4.1.16 does not properly authorize order creation and accepts an attacker-supplied order status, allowing unauthenticated users to create orders marked as paid without completing any payment.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Productos afectados
Unknown · Eventin
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Eventin

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-13170HIGHEventin < 4.1.20 - Editor+ Local File Inclusion via speaker_template SettingEPSS 0.6%CVE-2026-13174HIGHEventin < 4.1.21 - Contributor+ Speaker Account Deletion via IDOREPSS 0.5%CVE-2026-84898MEDIUMEventin < 4.1.21 - Contributor+ LFI via Event Layout MetaEPSS 0.4%CVE-2026-13175MEDIUMEventin < 4.1.21 - Contributor+ Schedule Deletion and Modification via IDOREPSS 0.4%CVE-2026-13168MEDIUMEventin < 4.1.20 - Contributor+ Customer PII Disclosure via REST APIEPSS 0.4%CVE-2026-13169HIGHEventin < 4.1.21 - Contributor+ Arbitrary Event Modification, Deletion and Ownership Takeover via IDOREPSS 0.4%