Podatności My Calendar
3 znanych podatności CVE w My Calendar, przetłumaczonych i ocenionych.
- CVE-2026-40308Wysokie
My Calendar (wtyczka WordPress) w wersjach 3.7.6 i niższych ma podatność w punkcie końcowym mc_ajax_mcjs_action, który jest dostępny dla nieuwierzytelnionych użytkowników. Parametry są przekazywane przez parse_str() bez walidacji, co pozwala na wstrzyknięcie parametru site. W instalacjach Multisite umożliwia to nieuwierzytelnionemu atakującemu wywołanie switch_to_blog() i wyciągnięcie wydarzeń z dowolnej podstrony, w tym prywatnych. W instalacjach Single Site powoduje to nieobsłużony błąd PHP i awarię wątku roboczego (DoS).
- CVE-2026-104798Krytyczne
Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.
- CVE-2025-67592Średnie
Wtyczka My Calendar Joe Dolsona do WordPressa do wersji 3.6.16 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykorzystać tę lukę do nieautoryzowanych działań.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS