CVE-2026-78006 in The Events Calendar Plugin
Riassunto
di VulDB • 12/09/2026
Il plugin The Events Calendar per WordPress è vulnerabile all'esecuzione di codice in modalità remota (RCE) in tutte le versioni fino alla 6.17.4 inclusa, tramite la funzione is_safe_widget_instance. Ciò è dovuto a una protezione insufficiente nella funzione is_safe_widget_instance, che può essere aggirata poiché PHP esegue i metodi magic durante la fase di pre-parsing, combinato con enable_rendering_widget_copied() che genera un attributo di integrità wp_hash valido prima che venga raggiunta la chiamata a unserialize(). Ciò consente ad attaccanti non autenticati di eseguire codice sul server. Questa vulnerabilità è sfruttabile senza necessità di autenticazione o approvazione poiché il template single-event V2 del plugin esegue do_blocks() su HTML dei commenti in buffer, e WordPress restituisce un URL con hash di moderazione che permette a un commentatore non autenticato di visualizzare immediatamente il proprio commento in attesa, consegnando la markup dell'block injectata al percorso di codice vulnerabile prima che avvenga qualsiasi forma di moderazione. Questo richiede comunque che i commenti siano abilitati e visibili negli eventi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.