CVE-2026-7525 in My Calendar Plugin
要約
〜によって VulDB • 2026年05月18日
WordPress用プラグイン「My Calendar – Accessible Event Manager」の全バージョン（3.7.9以下）において、認可回避の脆弱性が存在します。これは、プラグインがユーザーがアクションを実行する権限を持っているかどうかを適切に検証していないためです。これにより、カスタムレベル以上のアクセス権を持つ認証済み攻撃者は、POSTボディを改ざんすることで、イベントの公開や、キャンセルやプライベートなど、自身のロールでは許可されていない他の不正なステータスの設定を行い、モデレーションおよび承認ワークフローを回避することが可能になります。UIでは低権限ユーザーに対してドラフトのみを投稿できるボタンに制限が設けられていますが、この制限はクライアントサイドでのみ適用されているため、POSTリクエストを直接操作することで容易に回避可能です。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.