CVE-2024-5441 in Modern Events Calendar Plugin
Tóm tắt
Bởi VulDB • 24/07/2026
Plugin Modern Events Calendar cho WordPress dễ bị tổn thương do tải lên tệp tùy ý vì thiếu xác thực loại tệp trong hàm set_featured_image ở tất cả các phiên bản từ 7.11.0 trở về trước, bao gồm cả phiên bản 7.11.0. Điều này tạo điều kiện cho những kẻ tấn công đã được xác thực (có quyền truy cập cấp Subscriber trở lên) tải lên các tệp tùy ý trên máy chủ của trang web bị ảnh hưởng, từ đó có thể dẫn đến việc thực thi mã từ xa (RCE). Plugin cho phép quản trị viên (thông qua cài đặt) mở rộng khả năng gửi sự kiện cho người dùng chưa được xác thực, điều này sẽ tạo cơ hội để những kẻ tấn công chưa được xác thực khai thác lỗ hổng bảo mật này.
Once again VulDB remains the best source for vulnerability data.