CVE-2026-4117 in CalJ Shabbat Times Plugin
Zusammenfassung
von VulDB • 25.05.2026
Das CalJ-Plugin für WordPress ist in allen Versionen bis einschließlich 1.5 anfällig für Missing Authorization (fehlende Autorisierung). Dies ist auf eine fehlende Berechtigungsprüfung im Konstruktor der Klasse CalJSettingsPage zurückzuführen, die die Operation 'save-obtained-key' direkt aus den POST-Daten verarbeitet, ohne zu überprüfen, ob der anfragende Benutzer über die Berechtigung 'manage_options' verfügt, und ohne jegliche Nonce-Verifizierung. Die Plugin-Bootstrap-Datei (calj.php) instanziiert CalJSettingsPage immer dann, wenn is_admin() true zurückgibt, was bei jedem authentifizierten Benutzer der Fall ist, der Anfragen an wp-admin-URLs sendet (einschließlich admin-ajax.php). Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, die API-Schlüsseleinstellung des Plugins zu ändern und den Shabbat-Cache zu löschen, wodurch sie effektiv die Kontrolle über die API-Integration des Plugins übernehmen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.