Quick Event Manager · plugin de eventos e inscrições
Um visitante sem login pode fazer uma inscrição paga aparecer como paga sem ter pago nada, e também ver eventos que ainda estão em rascunho ou são privados.
Você mesmo
- Atualizar o Quick Event Manager para a 9.19 ou mais recente (a 9.19.2 é a atual).
- Conferir no painel do PayPal se cada inscrição marcada como paga tem um pagamento correspondente.
Seu dev ou hospedagem
- Revisar nos logs chamadas ao listener de IPN do plugin com o parâmetro debug.
- Cruzar os registros de inscrição pagos com o histórico de transações do PayPal.
Detalhes técnicos: Nas versões 9.9.5 a 9.18, o Quick Event Manager não verifica as notificações de pagamento do PayPal (IPN) quando o parâmetro “debug” é usado, e um visitante sem login pode marcar inscrições em eventos como pagas sem pagar (CVE-2026-121636, CVSS 5.3). Nas versões 8.4.6 a 9.18, uma falha de controle de acesso permite a visitantes ver conteúdo privado e em rascunho (CVE-2026-82214, CVSS 5.3). Sem relato de exploração ativa. Ambas corrigidas na 9.19.
Dados técnicos
CVE-2026-121636 · CVE-2026-82214 · CVSS 5,3 · Fonte: WPScan