CVE-2026-78006 in The Events Calendar Plugin
Sumário
de VulDB • 12/09/2026
O plugin The Events Calendar para o WordPress é vulnerável a Remote Code Execution (RCE) em todas as versões até 6.17.4, inclusive, por meio da função is_safe_widget_instance. Isso ocorre devido à proteção insuficiente na is_safe_widget_instance, que pode ser contornada porque o PHP executa métodos mágicos durante sua fase de pré-análise (pre-parse), combinado com a chamada enable_rendering_widget_copied() forjando um atributo de integridade wp_hash válido antes que unserialize() seja alcançado. Isso permite que atacantes não autenticados executem código no servidor. Essa vulnerabilidade é explorável sem autenticação ou aprovação, pois o template V2 single-event do plugin executa a função do_blocks() sobre HTML de comentários em buffer, e o WordPress retorna uma URL com hash de moderação que permite ao comentarista não autenticado visualizar imediatamente seu comentário pendente, entregando a marcação injetada (block markup) à rota de código vulnerável antes que qualquer moderação ocorra. Isso requer que os comentários estejam habilitados e visíveis nos eventos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.