CVE-2026-78006 in The Events Calendar Plugin
요약
\~에 의해 VulDB • 2026. 09. 12.
WordPress용 The Events Calendar 플러그인은 6.17.4 버전까지 모든 버전에서 is_safe_widget_instance 함수를 통해 원격 코드 실행(RCE) 취약점이 존재합니다. 이는 is_safe_widget_instance의 보호가 불충분하여, PHP가 사전 파싱 단계에서 매직 메서드를 호출하는 점과 enable_rendering_widget_copied()가 unserialize()에 도달하기 전에 유효한 wp_hash 무결성 속성을 생성함으로써 이 우회가 가능하기 때문입니다. 이로 인해 인증되지 않은 공격자가 서버에서 코드를 실행할 수 있습니다. 플러그인의 V2 단일 이벤트 템플릿이 버퍼 처리된 댓글 HTML에 대해 do_blocks()를 호출하고, WordPress가 승인되지 않은 작성자가 자신의 보류 중인 댓글을 즉시 확인할 수 있는 moderation-hash URL을 반환하여, 어떠한 검열도 발생하기 전에 취약한 코드 경로로 주입된 블록 마크업을 전달하므로 이 취약점은 인증이나 승급 없이도 악용 가능합니다. 다만 이벤트에서 댓글 기능이 활성화되어 있고 표시되어야 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.