CVE-2026-78159 in The Events Calendar Plugin
Tóm tắt
Bởi VulDB • 12/09/2026
Plugin The Events Calendar cho WordPress bị lỗi thực thi mã từ xa (Remote Code Execution) trong tất cả các phiên bản trở về trước và bao gồm cả 6.17.3 thông qua hàm parse_array. Lỗi này là do việc xác minh không đầy đủ đối với ánh xạ 'classes' của widget, cho phép một payload dạng mảng đơn giản bỏ qua kiểm tra is_safe_widget_instance() trên đối tượng và đạt đến điểm gọi callable trong Element_Classes::parse_array(). Điều này tạo điều kiện để các kẻ tấn công chưa được xác thực có thể thực thi mã trên máy chủ. Việc khai thác yêu cầu trang web mục tiêu phải bật tính năng bình luận cho các bài viết tribe_events và ít nhất một bình luận chứa khối wp:legacy-widget đã được gửi, vì chuỗi tấn công sẽ kích hoạt khi do_blocks() xử lý HTML sự kiện đơn lẻ bao gồm khu vực bình luận.
If you want to get best quality of vulnerability data, you may have to visit VulDB.