---

# الإضافة المتأثرة

**الإضافة:** The Events Calendar

**الثغرة:** حقن كائن PHP غير مُصادَق عليه يؤدي إلى
تنفيذ تعليمات برمجية عن بُعد

**الإصدارات المتأثرة:** جميع الإصدارات حتى الإصدار **6.17.4** ضمناً،
وفقاً لتنبيه Wordfence.

> [!IMPORTANT]
> يحدد إثبات المفهوم البحثي المنشور حالياً مع هذا المستودع
> نفسه داخلياً بأنه يستهدف `<= 6.17.2`.
>
> نطاق الإصدارات المذكور أعلاه يتبع تنبيه Wordfence
> (`<= 6.17.4`). تحقق دائماً من الإصدار المصاب/المُصلَّح الدقيق مقابل
> تنبيه المورّد قبل اختبار أي عملية نشر.

---

# السبب الجذري

يرتبط السلوك المصاب بالتفاعل بين
فحص أمان الودجة وسلوك إلغاء تسلسل الكائنات في PHP.

الدوال الرئيسية المعنية هي:```text
is_safe_widget_instance()
enable_rendering_widget_copied()

بعد إرسال تعليق، يمكن لـ WordPress توفير رابط moderation-hash غير مُصادَق عليه يسمح للمعلّق بعرض تعليقه المعلّق الخاص به.

وهذا يُنشئ آلية تسليم غير مُصادَق عليها لترميز الكتلة المُصمَّم.

---

# الشرح التقني

## 1. إرسال التعليق

يقوم المهاجم بإرسال تعليق مرتبط بحدث.

لا يحتاج التعليق إلى الموافقة عليه.

الخاصية المهمة هي أن WordPress يمكنه كشف التعليق من خلال آلية moderation-hash.

---

## 2. الوصول عبر Moderation-Hash

يوفّر WordPress للمعلّق رابطًا يسمح له بعرض تعليقه المعلّق الخاص به.

وهذا يعني أن المهاجم يمكنه الوصول إلى مسار العرض القابل للاستغلال دون انتظار الإشراف.

من الناحية المفاهيمية:```text
POST Comment
     |
     v
Pending Comment
     |
     v
Moderation Hash
     |
     v
Unauthenticated Access

هذا مهم لأن ترميز الكتلة المضمّن في المحتوى المعروض
يُفسَّر كبيانات كتلة WordPress.

---

## 4. بيانات كتلة مُصمَّمة

يبني PoC كتلة أداة قديمة (legacy-widget) تحتوي على نسخة أداة
مُسلسَلة.

يبني تنفيذ البحث الكتلة باستخدام نسخة مُسلسَلة مُرمَّزة
وخاصية سلامة (integrity attribute).

يعالج المسار القابل للاستغلال هذه البيانات في النهاية كنسخة أداة.

---

## 5. تجاوز السلامة

يمكن إساءة استخدام سلوك `enable_rendering_widget_copied()` الخاص بالإضافة
لإنتاج خاصية سلامة صالحة لبيانات الأداة التي يتحكم بها المهاجم.

يتيح ذلك لنسخة الأداة الخبيثة اجتياز فحص السلامة المتوقع
والوصول إلى مسار المعالجة القابل للاستغلال.

---

## 6. معالجة الكائنات غير الآمنة

حماية `is_safe_widget_instance()` القابلة للاستغلال غير كافية
ضد الكائن المُقدَّم عبر نسخة الأداة المُصمَّمة.

يمكن لسلوك معالجة الكائنات في PHP استدعاء الدوال السحرية (magic methods) أثناء
عملية إلغاء التسلسل.

النتيجة هي بدائية حقن كائنات PHP قابلة للاستغلال.

---

## 7. سلسلة الأدوات (Gadget Chain)

يبني PoC البحث بنى كائنات WordPress / The Events Calendar
التي توفر سلوكًا قابلًا للاستدعاء أثناء إلغاء التسلسل.

يستخدم PoC كائنات موجَّهة للاستدعاء المرتد وبنى أصناف مُسلسَلة
لبناء حمولة البحث.

---

## 8. تنفيذ الكود

التأثير النهائي هو تنفيذ الكود عن بُعد (Remote Code Execution).

يحتوي PoC على مرحلة webshell بحثية ومنطق
إنشاء مسؤول (administrator).

للتحقق الآمن من الثغرة، فإن الحد الأمني المهم
قد تم إثباته بالفعل من خلال التنفيذ الناجح لسلسلة
إلغاء التسلسل القابلة للاستغلال.

---

# لماذا الثغرة حرجة

الجمع بين:```text
Unauthenticated
       +
Remote
       +
PHP Object Injection
       +
RCE

يقوم التنفيذ بتنفيذ سلسلة الثغرات من خلال تسليم الحمولة على مراحل والتحقق منها.

يصف مصدر PoC بنيته على النحو التالي:```text
payload building
        |
        v
stage 1
        |
        v
verification
        |
        v
stage 2

سير عمل هدف واحد مفيد من أجل:

* المختبرات المحلية
* أنظمة الاختبار
* إعادة إنتاج CVE
* اختبار البائعين
* اختبار الاختراق المصرح به
* البحث الأمني

---

# قائمة عناوين URL

يدعم المشغّل غير المتزامن أيضًا قائمة من عناوين URL.

تنسيق الإدخال هو:```text
one URL per line

يمكن تجاهل الأسطر الفارغة والتعليقات.

يقوم المشغّل بتحميل الأهداف ومعالجتها بشكل متزامن باستخدام
عدد الخيوط/التزامن المُهيأ.

---

# المعالجة المتزامنة

يدعم PoC المعالجة المتزامنة لعدة أهداف.

من الناحية المفاهيمية:```text
                 URL LIST
                    |
        +-----------+-----------+
        |           |           |
        v           v           v
     Worker 1    Worker 2    Worker 3
        |           |           |
        v           v           v
      Target      Target      Target
        |           |           |
        +-----------+-----------+
                    |
                    v
                 Results

يحتوي `shells.txt` على عناوين URL للأصداف المرفوعة المكتشفة.

يحتوي `admins.txt` على معلومات نتائج المسؤول بالشكل التالي:```text
url | user | pass

START
                  |
                  v
          التحقق من إصدار الإضافة
                  |
                  v
          التحقق من المتطلبات الأساسية
                  |
                  v
       تأكيد تمكين التعليقات
                  |
                  v
       تأكيد أن الأحداث تكشف التعليقات
                  |
                  v
          إعادة الإنتاج في بيئة معملية
                  |
                  v
       تأكيد السلوك القابل للاستغلال
                  |
                  v
       تسجيل الأدلة والسجلات
                  |
                  v
          الإيقاف / الإفصاح```

Use the minimum level of interaction required to prove the finding.

---

# Important Prerequisites

The Wordfence advisory identifies the following important condition:

```text
يجب تمكين التعليقات
و
يجب أن تكون التعليقات مرئية على الأحداث```

The attack relies on the ability of an unauthenticated commenter to view
their own pending comment through the WordPress moderation-hash URL.

If comments are disabled or the relevant event comment path is not
available, the documented unauthenticated delivery mechanism may not be
reachable.

---

# Platform Considerations

The PoC contains environment-detection functionality.

The research code attempts to identify information such as:

```text
نظام التشغيل
مستخدم التنفيذ الحالي
دليل العمل الحالي
جذر المستند
برنامج الخادم
مضيف HTTP
معلومات PHP```

These values are useful for controlled research and understanding the
impact of successful code execution.

---

# Payload Architecture

The serialized payload contains multiple nested PHP objects.

The research implementation builds structures associated with:

```text
Tribe__Utils__Callback
Tribe\Utils\Element_Classes
stdClass```

The serialized structures are then embedded into a WordPress legacy
widget block.

Conceptually:

```text
PHP Object Graph
       |
       v
Serialized Object
       |
       v
Base64 Encoding
       |
       v
Legacy Widget Block
       |
       v
WordPress do_blocks()
       |
       v
The Events Calendar
       |
       v
Object Deserialization```

---

# Stage 1

The research PoC's first stage is designed to verify that the injected
object graph reaches the intended execution path.

The stage contains multiple controlled callbacks used to determine
whether code execution or environment disclosure occurred.

The implementation includes research checks such as:

```text
دليل العمل الحالي
مستخدم التنفيذ
جذر المستند
معلومات الخادم
معلومات PHP```

---

# Stage 2

If the initial stage does not directly establish the required persistent
artifact location, the PoC contains a second-stage mechanism that
attempts alternative locations.

The research implementation specifically considers WordPress upload
locations and document-root-related paths.

---

# Administrator Stage

The PoC also contains administrator creation functionality.

The research implementation can construct a WordPress administrator
through the vulnerable execution path.

This demonstrates that successful exploitation can result in both:

```text
تنفيذ التعليمات البرمجية عن بُعد
+
وصول دائم كمسؤول WordPress```

Administrator credentials generated during research should never be
committed to source control.

---

# Webshell Stage

The PoC contains a webshell stage intended for controlled research.

The webshell is packaged as a WordPress plugin ZIP and deployed through
an authenticated WordPress administrator session established by the
chain.

The research implementation uses a secret token to gate shell requests.

> [!CAUTION]
> The webshell is an exploitation artifact.
>
> Use it only in an isolated laboratory or during an explicitly
> authorized penetration test, and remove it immediately after testing.

---

# Verification

Successful vulnerability validation can be based on evidence such as:

```text
إصدار الإضافة
       +
حدث قابل للوصول
       +
تسليم التعليق
       +
عرض moderation-hash
       +
معالجة الودجت القابلة للاستغلال
       +
دليل التنفيذ المتحكم به```

For responsible disclosure, collect only the minimum evidence required.

---

# Impact

Successful exploitation may allow an unauthenticated attacker to:

* Execute arbitrary PHP code
* Execute commands in the context of the web server
* Read sensitive application information
* Access environment information
* Modify WordPress files
* Create administrator accounts
* Install malicious plugins
* Establish persistence
* Potentially compromise the underlying server

The ultimate impact depends on the privileges of the PHP process and
the hosting environment.

---

# Detection

Defenders should monitor for unusual activity involving:

* Event comment submissions
* Pending comments followed by moderation-hash access
* Suspicious block markup
* Legacy widget blocks
* Unexpected widget instance data
* Unexpected serialized PHP objects
* PHP execution triggered during event rendering
* Unexpected plugin installations
* New administrator accounts
* Unexpected PHP files
* Suspicious files under `wp-content/uploads/`

A compromise investigation should correlate:

```text
سجلات خادم الويب
       +
سجلات WordPress
       +
نشاط قاعدة البيانات
       +
سلامة الملفات
       +
حسابات المسؤول```

---

# Indicators of Compromise

Potential indicators include:

```text
حسابات مسؤول غير متوقعة
مجلدات إضافات غير متوقعة
ملفات PHP غير متوقعة
ملفات مشبوهة في wp-content/uploads/
تعليقات أحداث غير متوقعة
طلبات تجزئة إشراف غير طبيعية
طلبات متعلقة بالودجات غير متوقعة
تنفيذ PHP غير متوقع```

Because individual indicators can have legitimate explanations, they
should be investigated in context.

---

# Mitigation

The primary mitigation is to update **The Events Calendar** to a fixed
version provided by the vendor.

Until the plugin is updated, defenders should consider:

* Disabling comments where operationally acceptable
* Restricting public event comments
* Monitoring event comment traffic
* Reviewing recently created administrator accounts
* Monitoring plugin installation activity
* Performing file-integrity checks
* Reviewing web-server logs
* Reviewing WordPress logs

If compromise is suspected, treat the system as potentially compromised
rather than merely vulnerable.

---

# Incident Response

If exploitation is suspected:

1. Preserve relevant logs.
2. Identify suspicious requests.
3. Review administrator accounts.
4. Review installed plugins.
5. Inspect recently modified PHP files.
6. Inspect `wp-content/uploads/`.
7. Rotate WordPress credentials.
8. Rotate hosting/server credentials where appropriate.
9. Remove unauthorized persistence.
10. Restore trusted application files when necessary.
11. Upgrade the vulnerable plugin.
12. Continue monitoring for re-entry.

---

# Responsible Disclosure

When reporting this vulnerability or derivative research:

* Clearly identify the affected plugin.
* Include the affected version.
* Include the fixed version when confirmed.
* Explain the unauthenticated attack path.
* Document the required prerequisites.
* Provide reproducible evidence in a controlled environment.
* Avoid publishing victim data.
* Never publish generated administrator credentials.
* Never publish live webshell URLs.

---

# Research Limitations

A vulnerable plugin version alone does not guarantee successful
exploitation.

The attack path can be affected by:

* WordPress configuration
* Comment settings
* Event visibility
* Template configuration
* Security plugins
* Web Application Firewalls
* Reverse proxies
* PHP configuration
* Hosting permissions
* Object caching
* Network filtering

Therefore, version fingerprinting should be treated as an initial
indicator rather than definitive proof of exploitability.

---

# Repository Safety

Do not commit:

```text
shells.txt
admins.txt
عناوين URL للأهداف الحقيقية
بيانات الاعتماد المُنشأة
ملفات webshell
مخرجات phpinfo المُلتقطة
تفريغات قاعدة البيانات
معلومات بيئة الخادم
بيانات اختبار خاصة```

Use synthetic laboratory targets when creating screenshots,
demonstrations, or documentation.

---

# Recommended Repository Structure

```text
the-events-calendar-poc/
│
├── poc.py
├── README.md
├── LICENSE
├── .gitignore
│
├── screenshots/
│   └── .gitkeep
│
└── docs/
    └── research-notes.md```

Keep runtime artifacts outside the repository.

---

# Technical Summary

```text
The Events Calendar
        |
        v
V2 Single Event Template
        |
        v
WordPress do_blocks()
        |
        v
Legacy Widget Block
        |
        v
Forged Widget Instance
        |
        v
Valid Integrity Attribute
        |
        v
is_safe_widget_instance()
        |
        v
PHP Object Deserialization
        |
        v
Magic Method Invocation
        |
        v
PHP Object Injection
        |
        v
Remote Code Execution```

---

# Severity

**Impact:** Remote Code Execution

**Authentication:** Not required

**Attack Vector:** Remote

**Primary Component:** The Events Calendar

**Primary Vulnerable Functions:**

```text
is_safe_widget_instance()
enable_rendering_widget_copied()```

**Delivery Mechanism:**

```text
تعليقات الأحداث
+
رابط تجزئة الإشراف في WordPress
+
عرض الأحداث V2```

---

# Key Takeaway

The important aspect of this vulnerability is not simply that the plugin
uses PHP serialization.

The complete unauthenticated attack path is enabled by the combination
of:

```text
تحقق غير كافٍ من الودجات
          +
سلوك PHP للطرق السحرية
          +
سمة النزاهة المزورة
          +
do_blocks()
          +
تعليقات الأحداث العامة
          +
الوصول إلى moderation-hash```

This combination creates an unauthenticated path to PHP Object Injection
and Remote Code Execution.

---

# Credits

Vulnerability details and affected-version information:

**Wordfence Threat Intelligence**

Research PoC:

**The Events Calendar PHP Object Injection / RCE research implementation**

---

# References

* Wordfence Threat Intelligence — The Events Calendar PHP Object
  Injection / RCE vulnerability
* The Events Calendar
* WordPress Core
* WordPress Comments
* WordPress Block Editor
* WordPress `do_blocks()`
* PHP Object Serialization / Deserialization

---

# Disclaimer

This repository contains security research concerning a remote-code-
execution vulnerability affecting a WordPress plugin.

The PoC is provided for:

* Security research
* Defensive validation
* Authorized penetration testing
* Controlled laboratory reproduction
* Education

Only test systems that you own or have explicit written authorization
to assess.

The authors are not responsible for unauthorized use of this research.

---

# Keywords

```text
CVE-2026-78006
The Events Calendar
The Events Calendar WordPress
ثغرة The Events Calendar
The Events Calendar RCE
The Events Calendar PHP Object Injection
WordPress
CVE-2026-78006 POC
أمن WordPress
ثغرة WordPress
WordPress RCE
PHP Object Injection
PHP Deserialization
Unauthenticated RCE
Remote Code Execution
CVE
أمن إضافات WordPress
WordPress Plugin RCE
is_safe_widget_instance
enable_rendering_widget_copied
do_blocks
تعليقات WordPress
moderation hash
legacy-widget
أبحاث أمنية
PoC
Proof of Concept
اختبار الاختراق```