CVE-2026-97285

Podatność na deserializację niezaufanych danych w wtyczce The Events Calendar umożliwia wstrzyknięcie obiektów. Dotyczy wersji do 6.17.4 włącznie.

Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.3 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję parse_array. Nieodpowiednia walidacja mapy 'classes' widgetu pozwala na obejście sprawdzenia is_safe_widget_instance() i dotarcie do wywołania kodu w Element_Classes::parse_array(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, jeśli w witrynie włączono komentarze do wpisów tribe_events i przesłano komentarz zawierający spreparowany blok wp:legacy-widget.

Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.4 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję is_safe_widget_instance. Ochrona w tej funkcji może zostać obejta, ponieważ PHP uruchamia magiczne metody podczas wstępnego przetwarzania, a enable_rendering_widget_copied() fałszuje prawidłowy atrybut integralności wp_hash przed osiągnięciem unserialize(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, ponieważ szablon V2 pojedynczego wydarzenia uruchamia do_blocks() na buforowanym HTML komentarza, a WordPress zwraca URL z hashem moderacji pozwalający na natychmiastowe wyświetlenie własnego oczekującego komentarza.

Podatność w wtyczce The Events Calendar w wersjach do 6.17.2 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).

Wtyczka WordPress The Events Calendar w wersji przed 6.17.5.1 nie waliduje ani nie sanityzuje danych przesyłanych do nieuwierzytelnionej akcji AJAX przed włączeniem ich do kontekstu renderowania. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie.

Wtyczka The Events Calendar dla WordPressa przed wersją 6.16.5.1 nie przeprowadza kontroli autoryzacji na jednej ze swoich ścieżek REST API importu Event Aggregator i pomija kontrolę integralności dla określonej wartości statusu, co pozwala nieuwierzytelnionym atakującym oznaczać istniejące rekordy importu jako nieudane oraz przechowywać dowolną treść w ukrytym rekordzie komentarza.

Wtyczka The Events Calendar (the-events-calendar) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 6.15.12.2 włącznie.