CVE-2026-78006

सारांश

The Events Calendar plugin for WordPress, 6.17.4 तक के सभी संस्करणों में, is_safe_widget_instance function के माध्यम से Remote Code Execution के प्रति vulnerable है। यह is_safe_widget_instance में अपर्याप्त सुरक्षा के कारण है, जिसे bypass किया जा सकता है क्योंकि PHP अपने pre-parse के दौरान magic methods को fire करता है, साथ ही enable_rendering_widget_copied() unserialize() तक पहुँचने से पहले एक valid wp_hash integrity attribute को forge करता है। इससे unauthenticated attackers के लिए server पर code execute करना संभव हो जाता है। यह authentication या approval के बिना exploitable है क्योंकि plugin का V2 single-event template buffered comment HTML पर do_blocks() चलाता है, और WordPress एक moderation-hash URL return करता है जो एक unauthenticated commenter को तुरंत अपनी pending comment देखने की अनुमति देता है, जिससे injected block markup किसी भी moderation से पहले vulnerable code path तक पहुँच जाता है। इसके लिए events पर comments का enabled और visible होना आवश्यक है।

• CVE-2026-78006-POCPoC

  CVE-2026-78006 The Events Calendar <= 6.17.4 के लिए POC - अनधिकृत PHP ऑब्जेक्ट इंजेक्शन से रिमोट कोड एक्ज़ीक्यूशन