CVE-2026-119714 in My Calendar Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das WordPress-Plugin My Calendar ab der Version 3.8.8 bis vor 3.8.11 enthält eine Shortcode-Injection-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, registrierte Shortcodes über den Suchparameter „mcs“ auszuführen. Der Wert von mcs wird in mc_search_results() in src/my-calendar-search.php ohne Bracket-Encoding an do_shortcode weitergegeben, sodass eine GET-Anfrage Shortcodes auf jeder Seite oder jedem Beitrag auslöst und so Content-Injection sowie Spoofing ermöglicht.
VulDB is the best source for vulnerability data and more expert information about this specific topic.