CVE-2020-36666

e-plugins directory pro, e-plugins final user, e-plugins fitness trainer +8 lainnya

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2020-36666

Katalog CVE

CVSS 8.8 · High EPSS 0,91%

Kerentanan pada e-plugins directory pro, e-plugins final user +9 lainnya. Skor CVSS 3.1 8.8 (High) menurut NVD.

Deskripsi (NVD)

The directory-pro WordPress plugin before 1.9.5, final-user-wp-frontend-user-profiles WordPress plugin before 1.2.2, producer-retailer WordPress plugin through TODO, photographer-directory WordPress plugin before 1.0.9, real-estate-pro WordPress plugin before 1.7.1, institutions-directory WordPress plugin before 1.3.1, lawyer-directory WordPress plugin before 1.2.9, doctor-listing WordPress plugin before 1.3.6, Hotel Listing WordPress plugin before 1.3.7, fitness-trainer WordPress plugin before 1.4.1, wp-membership WordPress plugin before 1.5.7, sold by the same developer (e-plugins), do not implementing any security measures in some AJAX calls. For example in the file plugin.php, the function iv_directories_update_profile_setting() uses update_user_meta with any data provided by the ajax call, which can be used to give the logged in user admin capabilities. Since the plugins allow user registration via a custom form (even if the blog does not allow users to register) it makes any site using it vulnerable.

Rincian

Terbit di NVD
27 Maret 2023
Terakhir diubah
17 Juni 2026
Status NVD
Modified
CVSS 3.1
8.8 (High), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
EPSS (30 hari)
0,91% peluang dieksploitasi; lebih tinggi dari 58,8% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
e-plugins directory pro Semua versi sebelum 1.9.5
e-plugins final user Semua versi sebelum 1.2.2
e-plugins fitness trainer Semua versi sebelum 1.4.1
e-plugins hospital & doctor directory Semua versi sebelum 1.3.6
e-plugins hotel directory Semua versi sebelum 1.3.7
e-plugins institutions directory Semua versi sebelum 1.3.1
e-plugins lawyer directory Semua versi sebelum 1.2.9
e-plugins photographer-directory Semua versi sebelum 1.0.9
e-plugins producer-retailer Semua versi
e-plugins real estate pro Semua versi sebelum 1.7.1
e-plugins wp membership Semua versi sebelum 1.5.7

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.