CVE-2025-67592

ŚrednieCVSS 4.3

Opublikowano: 09/12/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka My Calendar Joe Dolsona do WordPressa do wersji 3.6.16 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykorzystać tę lukę do nieautoryzowanych działań.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego dostępu do funkcji kalendarza, co może prowadzić do manipulacji danymi lub eskalacji uprawnień w obrębie WordPressa.

Rekomendacja

Zaleca się aktualizację wtyczki My Calendar do wersji nowszej niż 3.6.16 oraz sprawdzenie konfiguracji kontroli dostępu.

Inne podatności w My Calendar

CVE-2026-40308Wysokie
My Calendar (wtyczka WordPress) w wersjach 3.7.6 i niższych ma podatność w punkcie końcowym mc_ajax_mcjs_action, który jest dostępny dla nieuwierzytelnionych użytkowników. Parametry są przekazywane przez parse_str() bez walidacji, co pozwala na wstrzyknięcie parametru site. W instalacjach Multisite umożliwia to nieuwierzytelnionemu atakującemu wywołanie switch_to_blog() i wyciągnięcie wydarzeń z dowolnej podstrony, w tym prywatnych. W instalacjach Single Site powoduje to nieobsłużony błąd PHP i awarię wątku roboczego (DoS).

Oryginalny opis (angielski, źródło NVD)

Missing Authorization vulnerability in Joe Dolson My Calendar my-calendar allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects My Calendar: from n/a through <= 3.6.16.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS