CVE-2026-78159
KrytyczneCVSS 9.8Streszczenie
Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.3 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję parse_array. Nieodpowiednia walidacja mapy 'classes' widgetu pozwala na obejście sprawdzenia is_safe_widget_instance() i dotarcie do wywołania kodu w Element_Classes::parse_array(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, jeśli w witrynie włączono komentarze do wpisów tribe_events i przesłano komentarz zawierający spreparowany blok wp:legacy-widget.
Ocena ryzyka
Podatność pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze, co może prowadzić do pełnego przejęcia witryny WordPress. Wymaga jedynie włączonych komentarzy do wydarzeń i jednego przesłanego komentarza.
Rekomendacja
Zaktualizuj wtyczkę The Events Calendar do wersji nowszej niż 6.17.3. Do czasu aktualizacji rozważ wyłączenie komentarzy do wpisów tribe_events oraz audyt istniejących komentarzy pod kątem bloków wp:legacy-widget.
Inne podatności w The Events Calendar
Zobacz wszystkie- CVE-2026-78006Krytyczne
Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.4 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję is_safe_widget_instance. Ochrona w tej funkcji może zostać obejta, ponieważ PHP uruchamia magiczne metody podczas wstępnego przetwarzania, a enable_rendering_widget_copied() fałszuje prawidłowy atrybut integralności wp_hash przed osiągnięciem unserialize(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, ponieważ szablon V2 pojedynczego wydarzenia uruchamia do_blocks() na buforowanym HTML komentarza, a WordPress zwraca URL z hashem moderacji pozwalający na natychmiastowe wyświetlenie własnego oczekującego komentarza.
- CVE-2026-78265Krytyczne
Podatność w wtyczce The Events Calendar w wersjach do 6.17.2 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).
- CVE-2026-13390Średnie
Wtyczka The Events Calendar dla WordPressa przed wersją 6.16.5.1 nie przeprowadza kontroli autoryzacji na jednej ze swoich ścieżek REST API importu Event Aggregator i pomija kontrolę integralności dla określonej wartości statusu, co pozwala nieuwierzytelnionym atakującym oznaczać istniejące rekordy importu jako nieudane oraz przechowywać dowolną treść w ukrytym rekordzie komentarza.
Oryginalny opis (angielski, źródło NVD)
The The Events Calendar plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 6.17.3 via the parse_array function. This is due to insufficient validation of the widget 'classes' map, allowing a plain-array payload to bypass the is_safe_widget_instance() object check and reach the callable-invocation sink in Element_Classes::parse_array(). This makes it possible for unauthenticated attackers to execute code on the server. Exploitation requires that the targeted site has comments enabled on tribe_events posts and that at least one comment containing a crafted wp:legacy-widget block has been submitted, as the attack chain is triggered when do_blocks() processes the single-event HTML including the comment area.