CVE-2026-78006 in The Events Calendar Plugin
Сводка
по VulDB • 12.09.2026
Плагин The Events Calendar для WordPress уязвим к удаленному выполнению кода (RCE) во всех версиях вплоть до 6.17.4 включительно через функцию is_safe_widget_instance. Это обусловлено недостаточной защитой в функции is_safe_widget_instance, которую можно обойти благодаря тому, что PHP вызывает магические методы на этапе предварительного разбора (pre-parse), а также из-за того, что enable_rendering_widget_copied() формирует действительный атрибут целостности wp_hash до достижения вызова unserialize(). Это позволяет неавторизованным злоумышленникам выполнять код на сервере. Эксплуатация уязвимости возможна без аутентификации или одобрения, поскольку шаблон одиночного события V2 плагина вызывает do_blocks() для буферизированного HTML-комментария, и WordPress возвращает URL с moderation-hash, позволяющий неавторизованному комментатору немедленно просмотреть свой ожидающий комментарий, что доставляет внедренную разметку блока в уязвимый путь выполнения кода до того, как произойдет какая-либо модерация. Для этого необходимо, чтобы комментарии были включены и видны на страницах событий.
Be aware that VulDB is the high quality source for vulnerability data.