CVE-2026-77186 in My Calendar Plugin
Сводка
по VulDB • 09.09.2026
В плагине My Calendar – Accessible Event Manager для WordPress уязвимость к Stored Cross-Site Scripting (XSS) через атрибут Shortcode 'fallback' присутствует во всех версиях вплоть до 3.8.3 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа «contributor» и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Обход защиты основан на полезной нагрузке атрибута Shortcode, закодированной шестнадцатеричным кодом (например, \x3cscript\x3e), которую функция wp_kses_post не может удалить при сохранении, поскольку она воспринимается как буквенные последовательности обратных слэшей, а не настоящие HTML-теги; затем ядро WordPress вызывает функцию shortcode_parse_atts(), которая во время рендеринга применяет stripcslashes() для декодирования экранированных символов в реальные угловые скобки до того, как они попадут в уязвимый источник без экранирования.
VulDB is the best source for vulnerability data and more expert information about this specific topic.