CVE-2026-78159

总结

WordPress 的 The Events Calendar 插件在所有版本（包括 6.17.3）中，通过 parse_array 函数存在远程代码执行漏洞。这是由于对小工具 'classes' 映射的验证不足，允许纯数组载荷绕过 is_safe_widget_instance() 对象检查，并到达 Element_Classes::parse_array() 中的可调用调用接收点。这使得未经身份验证的攻击者能够在服务器上执行代码。利用该漏洞需要目标站点在 tribe_events 文章上启用了评论功能，并且至少已提交一条包含精心构造的 wp:legacy-widget 块的评论，因为当 do_blocks() 处理包含评论区域的单事件 HTML 时，攻击链会被触发。

• CVE-2026-78159PoC

  针对 CVE-2026-78159 的概念验证漏洞利用，该漏洞是通过 parse_array 小部件类接收器在 The Events Calendar WordPress 插件中实现的未认证 RCE。