CVE-2026-78006 in The Events Calendar Plugin
الملخص
بحسب VulDB • 12/09/2026
يحتوي ملحق The Events Calendar لـ WordPress على ثغرة تسمح بتنفيذ الأكواد عن بُعد (Remote Code Execution) في جميع الإصدارات حتى 6.17.4 وشاملة لها، وذلك عبر دالة `is_safe_widget_instance`. ويعود ذلك إلى حماية غير كافية في هذه الدالة، والتي يمكن تجاوزها لأن PHP يُشغل الأساليب السحرية (magic methods) أثناء مرحلة ما قبل التحليل (pre-parse)، مما يتيح لـ `enable_rendering_widget_copied()` تزوير سمة سلامة `wp_hash` صالحة قبل الوصول إلى دالة `unserialize()`. وهذا يمكّن المهاجمين غير المصادق عليهم من تنفيذ أكواد على الخادم. ويمكن استغلال هذه الثغرة دون الحاجة إلى مصادقة أو موافقة، لأن قالب الحدث الفردي V2 الخاص بالملف التنفيذي يقوم بتشغيل `do_blocks()` على تعليقات HTML مخزنة مؤقتاً (buffered)، ويعيد ووردبريس رابط hash للتحقق من المراجعة يسمح لمعلق غير مصدق عليه بعرض تعليقه المعلق فوراً، مما يؤدي إلى تسليم علامة كتلة مُحقنة (injected block markup) إلى مسار الكود الضعيف قبل أي عملية مراجعة. يتطلب هذا أن تكون التعليقات مفعّلة ومرئية على الأحداث.
If you want to get best quality of vulnerability data, you may have to visit VulDB.