CVE-2026-78006
The Events Calendar <= 6.17.4 - Injeção de Objeto PHP Não Autenticada para Execução Remota de Código
- Publicado
- 12 de set. de 2026
- Atualizado
- 14 de set. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 12 de set. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 73,3%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin The Events Calendar para WordPress é vulnerável a Execução Remota de Código em todas as versões até, e incluindo, a 6.17.4 através da função is_safe_widget_instance. Isto deve-se a uma proteção insuficiente em is_safe_widget_instance, que pode ser contornada porque o PHP dispara métodos mágicos durante o seu pré-parse, combinado com enable_rendering_widget_copied() a forjar um atributo de integridade wp_hash válido antes de unserialize() ser alcançado. Isto torna possível que atacantes não autenticados executem código no servidor. Isto é explorável sem autenticação ou aprovação porque o template V2 de evento único do plugin executa do_blocks() sobre o HTML de comentário em buffer, e o WordPress devolve um URL de hash de moderação que permite a um comentador não autenticado visualizar imediatamente o seu próprio comentário pendente, entregando a marcação de bloco injetada ao caminho de código vulnerável antes de qualquer moderação ocorrer. Isto requer que os comentários estejam ativados e visíveis nos eventos.
Fontes
POC para CVE-2026-78006 The Events Calendar <= 6.17.4 - Injeção de Objeto PHP Não Autenticada para Execução Remota de Código
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.