CVE-2026-84740
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress The Events Calendar w wersji przed 6.17.5.1 nie waliduje ani nie sanityzuje danych przesyłanych do nieuwierzytelnionej akcji AJAX przed włączeniem ich do kontekstu renderowania. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie.
Ocena ryzyka
Atakujący bez logowania może wykonać dowolne shortcode'y, co może prowadzić do ujawnienia danych, wstrzyknięcia treści lub dalszej eskalacji. Ryzyko dotyczy każdej witryny z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę The Events Calendar do wersji 6.17.5.1 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do nieuwierzytelnionych akcji AJAX.
Inne podatności w The Events Calendar
Zobacz wszystkie- CVE-2026-97285Średnie
Wtyczka The Events Calendar w wersjach do 6.17.5 włącznie zawiera podatność Broken Access Control, którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na obejście mechanizmów kontroli dostępu.
- CVE-2026-95606Krytyczne
Podatność na deserializację niezaufanych danych w wtyczce The Events Calendar umożliwia wstrzyknięcie obiektów. Dotyczy wersji do 6.17.4 włącznie.
- CVE-2026-78159Krytyczne
Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.3 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję parse_array. Nieodpowiednia walidacja mapy 'classes' widgetu pozwala na obejście sprawdzenia is_safe_widget_instance() i dotarcie do wywołania kodu w Element_Classes::parse_array(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, jeśli w witrynie włączono komentarze do wpisów tribe_events i przesłano komentarz zawierający spreparowany blok wp:legacy-widget.
- CVE-2026-78006Krytyczne
Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.4 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję is_safe_widget_instance. Ochrona w tej funkcji może zostać obejta, ponieważ PHP uruchamia magiczne metody podczas wstępnego przetwarzania, a enable_rendering_widget_copied() fałszuje prawidłowy atrybut integralności wp_hash przed osiągnięciem unserialize(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, ponieważ szablon V2 pojedynczego wydarzenia uruchamia do_blocks() na buforowanym HTML komentarza, a WordPress zwraca URL z hashem moderacji pozwalający na natychmiastowe wyświetlenie własnego oczekującego komentarza.
- CVE-2026-78265Krytyczne
Podatność w wtyczce The Events Calendar w wersjach do 6.17.2 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).
- CVE-2026-13390Średnie
Wtyczka The Events Calendar dla WordPressa przed wersją 6.16.5.1 nie przeprowadza kontroli autoryzacji na jednej ze swoich ścieżek REST API importu Event Aggregator i pomija kontrolę integralności dla określonej wartości statusu, co pozwala nieuwierzytelnionym atakującym oznaczać istniejące rekordy importu jako nieudane oraz przechowywać dowolną treść w ukrytym rekordzie komentarza.
- CVE-2025-69352Średnie
Wtyczka The Events Calendar (the-events-calendar) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 6.15.12.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Events Calendar WordPress plugin before 6.17.5.1 does not validate or sanitise data submitted to an unauthenticated AJAX action before merging it into its rendering context, allowing unauthenticated users to execute arbitrary shortcodes registered on the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS