Podatności My Calendar – Accessible Event Manager

Podatność na Stored Cross-Site Scripting (XSS) w wtyczce My Calendar – Accessible Event Manager dla WordPressa, we wszystkich wersjach do 3.8.3 włącznie, przez atrybuty 'before' i 'after' w shortcode, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Zalogowani atakujący z dostępem na poziomie contributora i wyżej mogą wstrzyknąć skrypty, które wykonają się przy odwiedzeniu strony.

Podatność na Stored Cross-Site Scripting (XSS) w wtyczce My Calendar – Accessible Event Manager dla WordPressa, we wszystkich wersjach do 3.8.3 włącznie, przez atrybut 'fallback' w shortcode, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Atakujący z dostępem na poziomie contributora i wyżej mogą wstrzyknąć skrypty, wykorzystując hex-encoded payloady, które omijają filtry.

Wtyczka My Calendar – Accessible Event Manager dla WordPressa jest podatna na ślepe wstrzykiwanie SQL oparte na czasie przez parametr 'mc_auth' w wersjach do 3.7.8 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka My Calendar – Accessible Event Manager dla WordPressa do wersji 3.7.14 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'vcal'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym enumerację identyfikatorów zdarzeń i dostęp do pełnego eksportu iCalendar niepublicznych, szkicowych, usuniętych i prywatnych wydarzeń kalendarza.