Eventin · plugin de eventos e ingressos
Quem tem uma conta simples no site pode ver o e-mail e o telefone de qualquer usuário, inclusive do administrador, o que facilita golpes e tentativas de invasão. Preocupa sites com cadastro aberto.
Você mesmo
- Manter o Eventin na versão mais recente (4.1.30 ou superior) e instalar a próxima atualização assim que sair.
- Se o cadastro estiver aberto e não for essencial, considerar fechá-lo até a correção.
- Avisar a equipe para desconfiar de contatos inesperados por e-mail ou telefone.
Seu dev ou hospedagem
- Monitorar nos logs requisições de assinantes ao Eventin variando o parâmetro id.
- Aplicar regra de WAF limitando essas consultas a papéis de gestão.
Detalhes técnicos: O Eventin (Events Calendar, Tickets, Registration) até a versão 4.1.29 não verifica autorização (CWE-862) numa consulta que recebe o parâmetro ‘id’. Um usuário autenticado com papel de Assinante ou superior pode obter o e-mail e o telefone de qualquer usuário do WordPress, inclusive administradores (CVSS 6.5, Wordfence). O registro não informa versão corrigida; a 4.1.30 foi lançada em 01/11 sem menção a correção de segurança no changelog. Não há relato de exploração ativa.
Dados técnicos
CVE-2026-109994 · CVSS 6,5 · Fonte: Wordfence (via OffSeq Threat Radar)