Event Tickets and Registration WordPress-Plugin: Unauthentifizierte Offenlegung von Teilnehmernamen
Zusammenfassung
Das WordPress-Plugin Event Tickets and Registration vor 5.30.3.1 gibt Teilnehmerdaten über die REST-API zurück, ohne zu prüfen, ob die Veranstaltung eine öffentliche Teilnehmerliste anzeigt. Ein unauthentifizierter Angreifer aus dem Internet kann so die Namen von Teilnehmenden solcher Veranstaltungen abrufen. Der Eintrag beschreibt nur Namen, Registrierungsformulare können jedoch auch Kontaktdaten erfassen.
Betroffen
- WordPress-Plugin Event Tickets and Registration vor 5.30.3.1
- Versionsbereich gemäss CVE-Eintrag: 0 bis vor 5.30.3.1 (untere Grenze nicht aussagekräftig)
- Gemeldete Versionen 5.28.4 und 5.29.0.1 (VulDB, keine bestätigte vollständige Liste)
- Hersteller: nicht bestätigt, vermutlich The Events Calendar (Modern Tribe)
Behoben in
- Behoben in 5.30.3.1
Umgehung
- Keine Workaround-Massnahme vom Hersteller dokumentiert.
- Falls ein Update nicht sofort möglich ist, den unauthentifizierten Zugriff auf die REST-Routen des Plugins über eine Web Application Firewall oder einen Reverse Proxy einschränken. Vorher testen, da legitime Funktionen beeinträchtigt werden können.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird.
- Kein öffentlicher Exploit und kein Proof of Concept in den Indizes von Metasploit, Exploit-DB oder nuclei gefunden, Stand 10. November 2026.
- CISA SSVC: Automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Event Tickets and Registration auf Version 5.30.3.1 oder neuer aktualisieren.
- Gleichzeitig die verwandte Schwachstelle CVE-2026-122087 prüfen.
- WordPress-Seiten mit dem Plugin identifizieren und prüfen, ob sie aus dem Internet erreichbar sind.
- Prüfen, welche Daten Registrierungsformulare erfassen, und beurteilen, ob nach dem revidierten Schweizer DSG eine Meldepflicht besteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-122061 www.cve.org
- VulDB CVE-2026-122061 vuldb.com
- OffSeq Radar CVE-2026-122061 radar.offseq.com
- OpenCVE CVE-2026-122061 app.opencve.io
- The Events Calendar support forum: attendee registration theeventscalendar.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.