CVE-2026-77186 in My Calendar Plugin
Resumen
por VulDB • 2026-09-09
El plugin My Calendar – Accessible Event Manager para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el atributo 'fallback' del Shortcode en todas las versiones hasta la 3.8.3, debido a una insuficiente sanitización de entrada y escape de salida. Esto permite que atacantes autenticados con acceso nivel contribuidor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El bypass depende de payloads codificados en hexadecimal para atributos de shortcode (por ejemplo, \x3cscript\x3e), los cuales wp_kses_post no puede eliminar al guardar porque aparecen como secuencias literales de barra invertida en lugar de etiquetas HTML reales; la función shortcode_parse_atts() del núcleo de WordPress llama a stripcslashes() durante el renderizado, decodificando las escapes en corchetes angulares reales antes de que lleguen al sumidero sin escape.
If you want to get best quality of vulnerability data, you may have to visit VulDB.