CVE-2025-12192
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka The Events Calendar dla WordPress jest podatna na ujawnienie informacji w wersjach do 6.15.9 włącznie. Punkt końcowy REST sysinfo porównuje podany klucz z przechowywanym kluczem opt-in za pomocą luźnego porównania, co pozwala nieuwierzytelnionym atakującym wysłać wartość logiczną i uzyskać pełny raport systemowy, gdy ustawienie automatycznego udostępniania informacji jest włączone.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać szczegółowe informacje o systemie, co może ułatwić dalsze ataki. Wymaga to włączonego ustawienia udostępniania informacji.
Rekomendacja
Zaktualizuj wtyczkę The Events Calendar do wersji powyżej 6.15.9. Rozważ wyłączenie automatycznego udostępniania informacji o systemie.
Inne podatności w The Events Calendar
Zobacz wszystkie- CVE-2026-110903Średnie
Wtyczka The Events Calendar zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 6.18.1.
- CVE-2026-97285Średnie
Wtyczka The Events Calendar w wersjach do 6.17.5 włącznie zawiera podatność Broken Access Control, którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na obejście mechanizmów kontroli dostępu.
- CVE-2026-95606Krytyczne
Podatność na deserializację niezaufanych danych w wtyczce The Events Calendar umożliwia wstrzyknięcie obiektów. Dotyczy wersji do 6.17.4 włącznie.
- CVE-2026-78159Krytyczne
Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.3 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję parse_array. Nieodpowiednia walidacja mapy 'classes' widgetu pozwala na obejście sprawdzenia is_safe_widget_instance() i dotarcie do wywołania kodu w Element_Classes::parse_array(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, jeśli w witrynie włączono komentarze do wpisów tribe_events i przesłano komentarz zawierający spreparowany blok wp:legacy-widget.
- CVE-2026-78006Krytyczne
Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.4 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję is_safe_widget_instance. Ochrona w tej funkcji może zostać obejta, ponieważ PHP uruchamia magiczne metody podczas wstępnego przetwarzania, a enable_rendering_widget_copied() fałszuje prawidłowy atrybut integralności wp_hash przed osiągnięciem unserialize(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, ponieważ szablon V2 pojedynczego wydarzenia uruchamia do_blocks() na buforowanym HTML komentarza, a WordPress zwraca URL z hashem moderacji pozwalający na natychmiastowe wyświetlenie własnego oczekującego komentarza.
- CVE-2026-78265Krytyczne
Podatność w wtyczce The Events Calendar w wersjach do 6.17.2 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).
- CVE-2026-119367Średnie
Wtyczka The Events Calendar (the-events-calendar) zawiera podatność Missing Authorization, pozwalającą na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 6.18.2 włącznie. Może to umożliwić nieuprawniony dostęp do funkcji lub danych.
- CVE-2026-119369Średnie
Wtyczka The Events Calendar (Liquid Web / StellarWP) w wersjach do 6.18.2 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt może zostać trwale zapisany i wykonany u użytkowników przeglądających stronę.
- CVE-2026-119370Średnie
Wtyczka The Events Calendar firmy Liquid Web / StellarWP zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony), która umożliwia atak Stored XSS. Problem dotyczy wersji od nieznanej do 6.18.2 włącznie.
- CVE-2026-119368Średnie
Wtyczka The Events Calendar firmy Liquid Web / StellarWP zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 6.18.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Events Calendar plugin for WordPress is vulnerable to information disclosure in versions up to, and including, 6.15.9. The sysinfo REST endpoint compares the provided key to the stored opt-in key using a loose comparison, allowing unauthenticated attackers to send a boolean value and obtain the full system report whenever "Yes, automatically share my system information with The Events Calendar support team" setting is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS