CVE-2026-96534

WysokieCVSS 7.7

Opublikowano: 18/10/2026(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 18/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczki Modern Events Calendar Lite i Modern Event Calendar Pro dla WordPressa w wersjach przed 7.37.0 nie sanityzują ani nie escapują parametru przed użyciem go w zapytaniu SQL. Umożliwia to uwierzytelnionym użytkownikom z minimalnymi uprawnieniami (Subscriber i wyżej) przeprowadzanie ataków SQL injection.

Ocena ryzyka

Atakujący z kontem o niskich uprawnieniach może wykonać dowolne zapytania SQL, co grozi wyciekiem, modyfikacją lub usunięciem danych z bazy WordPressa. Może to prowadzić do pełnego przejęcia serwisu.

Rekomendacja

Zaktualizuj wtyczkę Modern Events Calendar Lite oraz Modern Event Calendar Pro do wersji 7.37.0 lub nowszej. Sprawdź integralność bazy danych pod kątem nieautoryzowanych zmian.

Inne podatności w Modern Events Calendar

CVE-2026-73339Krytyczne
Nieuwierzytelniony atakujący może wykorzystać podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce Modern Events Calendar w wersjach starszych niż 7.35.0.

Oryginalny opis (angielski, źródło NVD)

The Modern Events Calendar Lite WordPress plugin before 7.37.0, Modern Event Calendar Pro WordPress plugin before 7.37.0 does not sanitise and escape a parameter before using it in a SQL statement, allowing authenticated users with minimal privileges (Subscriber and above) to perform SQL injection attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS