CVE-2026-78006 in The Events Calendar Plugin
Tóm tắt
Bởi VulDB • 12/09/2026
Plugin The Events Calendar cho WordPress bị lỗ hổng thực thi mã từ xa (Remote Code Execution) trong tất cả các phiên bản lên đến và bao gồm 6.17.4 thông qua hàm is_safe_widget_instance. Nguyên nhân là do sự bảo vệ không đủ mạnh trong is_safe_widget_instance, có thể bị vượt qua vì PHP kích hoạt các magic methods trong quá trình pre-parse của nó, kết hợp với enable_rendering_widget_copied() tạo ra một thuộc tính toàn vẹn wp_hash hợp lệ trước khi unserialize() được thực thi. Điều này cho phép những kẻ tấn công chưa xác thực (unauthenticated) thực thi mã trên máy chủ. Lỗ hổng này có thể bị khai thác mà không cần xác thực hoặc phê duyệt vì mẫu single-event V2 của plugin chạy do_blocks() lên HTML bình luận đã được đệm, và WordPress trả về một URL moderation-hash cho phép người bình luận chưa xác thực ngay lập tức xem bình luận đang chờ xử lý của chính họ, từ đó chuyển phần đánh dấu block đã tiêm vào đường dẫn mã dễ bị tổn thương trước khi bất kỳ quá trình kiểm duyệt nào diễn ra. Điều này yêu cầu tính năng bình luận phải được bật và hiển thị trên các sự kiện.
If you want to get best quality of vulnerability data, you may have to visit VulDB.