CVE-2026-78006-POC

POC para CVE-2026-78006 The Events Calendar <= 6.17.4 - Inyección de Objetos PHP No Autenticada a Ejecución Remota de Código

#CONTACTO telegram para cualquier consulta : @soldout0O

💙 Apoya el Proyecto

Si aprecias mi trabajo, considera apoyar el proyecto vía USDT (TRC20): TQBA72kakjCZLnJt8fJYcD7dyQCEpzNtVN

The Events Calendar — Inyección de Objetos PHP No Autenticada a RCE

PoC de Investigación de Seguridad

The Events Calendar para WordPress contiene una vulnerabilidad de Inyección de Objetos PHP no autenticada que puede ser encadenada a Ejecución Remota de Código.

La ruta de código vulnerable involucra:

is_safe_widget_instance()
enable_rendering_widget_copied()

Esto es importante porque el marcado de bloques incrustado en el contenido renderizado se interpreta como datos de bloques de WordPress. --- ## 4. Datos de bloque manipulados El PoC construye un bloque de widget heredado que contiene una instancia de widget serializada. La implementación de investigación construye el bloque utilizando una instancia serializada codificada y un atributo de integridad. La ruta vulnerable finalmente procesa estos datos como una instancia de widget. --- ## 5. Omisión de integridad El comportamiento de `enable_rendering_widget_copied()` del plugin puede ser abusado para producir un atributo de integridad válido para los datos del widget controlados por el atacante. Esto permite que la instancia de widget maliciosa pase la verificación de integridad esperada y alcance la ruta de procesamiento vulnerable. --- ## 6. Manejo inseguro de objetos La protección vulnerable `is_safe_widget_instance()` es insuficiente contra el objeto suministrado a través de la instancia de widget manipulada. El comportamiento de manejo de objetos de PHP puede invocar métodos mágicos durante el proceso de deserialización. El resultado es una primitiva de Inyección de Objetos PHP explotable. --- ## 7. Cadena de gadgets El PoC de investigación construye estructuras de objetos de WordPress / The Events Calendar que proporcionan comportamiento invocable durante la deserialización. El PoC utiliza objetos orientados a callbacks y estructuras de clases serializadas para construir el payload de investigación. --- ## 8. Ejecución de código El impacto final es la Ejecución Remota de Código. El PoC contiene una etapa de webshell de investigación y lógica de creación de administrador. Para la verificación segura de la vulnerabilidad, el límite de seguridad importante ya está demostrado por la ejecución exitosa de la cadena de deserialización vulnerable. --- # Por qué la vulnerabilidad es crítica La combinación de:```text Unauthenticated + Remote + PHP Object Injection + RCE

START | v Verificar la versión del plugin | v Verificar los requisitos previos | v Confirmar que los comentarios están habilitados | v Confirmar que los eventos exponen los comentarios | v Reproducir en un laboratorio | v Confirmar el comportamiento vulnerable | v Registrar evidencia y registros | v Detener / divulgar``` Use the minimum level of interaction required to prove the finding. --- # Important Prerequisites The Wordfence advisory identifies the following important condition: ```text Los comentarios deben estar habilitados y los comentarios deben ser visibles en los eventos``` The attack relies on the ability of an unauthenticated commenter to view their own pending comment through the WordPress moderation-hash URL. If comments are disabled or the relevant event comment path is not available, the documented unauthenticated delivery mechanism may not be reachable. --- # Platform Considerations The PoC contains environment-detection functionality. The research code attempts to identify information such as: ```text Sistema operativo Usuario de ejecución actual Directorio de trabajo actual Raíz del documento Software del servidor Host HTTP Información de PHP``` These values are useful for controlled research and understanding the impact of successful code execution. --- # Payload Architecture The serialized payload contains multiple nested PHP objects. The research implementation builds structures associated with: ```text Tribe__Utils__Callback Tribe\Utils\Element_Classes stdClass``` The serialized structures are then embedded into a WordPress legacy widget block. Conceptually: ```text Grafo de Objetos PHP | v Objeto Serializado | v Codificación Base64 | v Bloque de Widget Heredado | v WordPress do_blocks() | v The Events Calendar | v Deserialización de Objetos``` --- # Stage 1 The research PoC's first stage is designed to verify that the injected object graph reaches the intended execution path. The stage contains multiple controlled callbacks used to determine whether code execution or environment disclosure occurred. The implementation includes research checks such as: ```text Directorio de trabajo actual Usuario de ejecución Raíz del documento Información del servidor Información de PHP``` --- # Stage 2 If the initial stage does not directly establish the required persistent artifact location, the PoC contains a second-stage mechanism that attempts alternative locations. The research implementation specifically considers WordPress upload locations and document-root-related paths. --- # Administrator Stage The PoC also contains administrator creation functionality. The research implementation can construct a WordPress administrator through the vulnerable execution path. This demonstrates that successful exploitation can result in both: ```text Ejecución Remota de Código + Acceso Persistente como Administrador de WordPress``` Administrator credentials generated during research should never be committed to source control. --- # Webshell Stage The PoC contains a webshell stage intended for controlled research. The webshell is packaged as a WordPress plugin ZIP and deployed through an authenticated WordPress administrator session established by the chain. The research implementation uses a secret token to gate shell requests. > [!CAUTION] > The webshell is an exploitation artifact. > > Use it only in an isolated laboratory or during an explicitly > authorized penetration test, and remove it immediately after testing. --- # Verification Successful vulnerability validation can be based on evidence such as: ```text Versión del plugin + Evento alcanzable + Entrega de comentarios + Renderizado del hash de moderación + Procesamiento del widget vulnerable + Evidencia de ejecución controlada``` For responsible disclosure, collect only the minimum evidence required. --- # Impact Successful exploitation may allow an unauthenticated attacker to: * Execute arbitrary PHP code * Execute commands in the context of the web server * Read sensitive application information * Access environment information * Modify WordPress files * Create administrator accounts * Install malicious plugins * Establish persistence * Potentially compromise the underlying server The ultimate impact depends on the privileges of the PHP process and the hosting environment. --- # Detection Defenders should monitor for unusual activity involving: * Event comment submissions * Pending comments followed by moderation-hash access * Suspicious block markup * Legacy widget blocks * Unexpected widget instance data * Unexpected serialized PHP objects * PHP execution triggered during event rendering * Unexpected plugin installations * New administrator accounts * Unexpected PHP files * Suspicious files under `wp-content/uploads/` A compromise investigation should correlate: ```text Registros del servidor web + Registros de WordPress + Actividad de la base de datos + Integridad de archivos + Cuentas de administrador``` --- # Indicators of Compromise Potential indicators include: ```text Cuentas de administrador inesperadas Directorios de plugins inesperados Archivos PHP inesperados Archivos sospechosos en wp-content/uploads/ Comentarios de eventos inesperados Solicitudes anómalas de moderation-hash Solicitudes inesperadas relacionadas con widgets Ejecución de PHP inesperada``` Because individual indicators can have legitimate explanations, they should be investigated in context. --- # Mitigation The primary mitigation is to update **The Events Calendar** to a fixed version provided by the vendor. Until the plugin is updated, defenders should consider: * Disabling comments where operationally acceptable * Restricting public event comments * Monitoring event comment traffic * Reviewing recently created administrator accounts * Monitoring plugin installation activity * Performing file-integrity checks * Reviewing web-server logs * Reviewing WordPress logs If compromise is suspected, treat the system as potentially compromised rather than merely vulnerable. --- # Incident Response If exploitation is suspected: 1. Preserve relevant logs. 2. Identify suspicious requests. 3. Review administrator accounts. 4. Review installed plugins. 5. Inspect recently modified PHP files. 6. Inspect `wp-content/uploads/`. 7. Rotate WordPress credentials. 8. Rotate hosting/server credentials where appropriate. 9. Remove unauthorized persistence. 10. Restore trusted application files when necessary. 11. Upgrade the vulnerable plugin. 12. Continue monitoring for re-entry. --- # Responsible Disclosure When reporting this vulnerability or derivative research: * Clearly identify the affected plugin. * Include the affected version. * Include the fixed version when confirmed. * Explain the unauthenticated attack path. * Document the required prerequisites. * Provide reproducible evidence in a controlled environment. * Avoid publishing victim data. * Never publish generated administrator credentials. * Never publish live webshell URLs. --- # Research Limitations A vulnerable plugin version alone does not guarantee successful exploitation. The attack path can be affected by: * WordPress configuration * Comment settings * Event visibility * Template configuration * Security plugins * Web Application Firewalls * Reverse proxies * PHP configuration * Hosting permissions * Object caching * Network filtering Therefore, version fingerprinting should be treated as an initial indicator rather than definitive proof of exploitability. --- # Repository Safety Do not commit: ```text shells.txt admins.txt URLs de objetivos reales credenciales generadas archivos webshell salida de phpinfo capturada volcados de base de datos información del entorno del servidor datos de prueba privados``` Use synthetic laboratory targets when creating screenshots, demonstrations, or documentation. --- # Recommended Repository Structure ```text the-events-calendar-poc/ │ ├── poc.py ├── README.md ├── LICENSE ├── .gitignore │ ├── screenshots/ │ └── .gitkeep │ └── docs/ └── research-notes.md``` Keep runtime artifacts outside the repository. --- # Technical Summary ```text The Events Calendar | v Plantilla de evento único V2 | v WordPress do_blocks() | v Bloque de widget heredado | v Instancia de widget falsificada | v Atributo de integridad válido | v is_safe_widget_instance() | v Deserialización de objetos PHP | v Invocación de métodos mágicos | v Inyección de objetos PHP | v Ejecución remota de código``` --- # Severity **Impact:** Remote Code Execution **Authentication:** Not required **Attack Vector:** Remote **Primary Component:** The Events Calendar **Primary Vulnerable Functions:** ```text is_safe_widget_instance() enable_rendering_widget_copied()``` **Delivery Mechanism:** ```text Comentarios de eventos + URL de moderación-hash de WordPress + Renderizado de eventos V2``` --- # Key Takeaway The important aspect of this vulnerability is not simply that the plugin uses PHP serialization. The complete unauthenticated attack path is enabled by the combination of: ```text Validación insuficiente de widgets + Comportamiento de métodos mágicos de PHP + Atributo de integridad falsificado + do_blocks() + Comentarios de eventos públicos + Acceso a moderation-hash``` This combination creates an unauthenticated path to PHP Object Injection and Remote Code Execution. --- # Credits Vulnerability details and affected-version information: **Wordfence Threat Intelligence** Research PoC: **The Events Calendar PHP Object Injection / RCE research implementation** --- # References * Wordfence Threat Intelligence — The Events Calendar PHP Object Injection / RCE vulnerability * The Events Calendar * WordPress Core * WordPress Comments * WordPress Block Editor * WordPress `do_blocks()` * PHP Object Serialization / Deserialization --- # Disclaimer This repository contains security research concerning a remote-code- execution vulnerability affecting a WordPress plugin. The PoC is provided for: * Security research * Defensive validation * Authorized penetration testing * Controlled laboratory reproduction * Education Only test systems that you own or have explicit written authorization to assess. The authors are not responsible for unauthorized use of this research. --- # Keywords ```text CVE-2026-78006 The Events Calendar The Events Calendar WordPress Vulnerabilidad de The Events Calendar RCE de The Events Calendar Inyección de objetos PHP de The Events Calendar WordPress POC de CVE-2026-78006 Seguridad de WordPress Vulnerabilidad de WordPress RCE de WordPress Inyección de objetos PHP Deserialización PHP RCE no autenticado Ejecución remota de código CVE Seguridad de plugins de WordPress RCE de plugins de WordPress is_safe_widget_instance enable_rendering_widget_copied do_blocks comentarios de WordPress hash de moderación legacy-widget investigación de seguridad PoC Prueba de concepto pruebas de penetración```

CVE-2026-78006-POC

Más Populares

Resumen de la Vulnerabilidad

Por qué no se requiere autenticación

3. Representación de eventos

PoC de investigación

Capacidades del PoC

Objetivo único

Salida

`.gitignore` recomendado```gitignore

PoC results

Research Workflow

CVE-2026-78006-POC

Más Populares

CVE-2026-78006-POC

💙 Apoya el Proyecto

The Events Calendar — Inyección de Objetos PHP No Autenticada a RCE

PoC de Investigación de Seguridad

Resumen de la Vulnerabilidad

Por qué no se requiere autenticación

3. Representación de eventos

PoC de investigación

Capacidades del PoC

Objetivo único

Salida

.gitignore recomendado```gitignore

PoC results

Research Workflow

`.gitignore` recomendado```gitignore