CVE-2025-67592
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka My Calendar Joe Dolsona do WordPressa do wersji 3.6.16 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykorzystać tę lukę do nieautoryzowanych działań.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do funkcji kalendarza, co może prowadzić do manipulacji danymi lub eskalacji uprawnień w obrębie WordPressa.
Rekomendacja
Zaleca się aktualizację wtyczki My Calendar do wersji nowszej niż 3.6.16 oraz sprawdzenie konfiguracji kontroli dostępu.
Inne podatności w My Calendar
Zobacz wszystkie- CVE-2026-40308Wysokie
My Calendar (wtyczka WordPress) w wersjach 3.7.6 i niższych ma podatność w punkcie końcowym mc_ajax_mcjs_action, który jest dostępny dla nieuwierzytelnionych użytkowników. Parametry są przekazywane przez parse_str() bez walidacji, co pozwala na wstrzyknięcie parametru site. W instalacjach Multisite umożliwia to nieuwierzytelnionemu atakującemu wywołanie switch_to_blog() i wyciągnięcie wydarzeń z dowolnej podstrony, w tym prywatnych. W instalacjach Single Site powoduje to nieobsłużony błąd PHP i awarię wątku roboczego (DoS).
- CVE-2026-104798Krytyczne
Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.
- CVE-2026-119714Średnie
Wtyczka My Calendar dla WordPressa w wersjach 3.8.8 do 3.8.11 zawiera podatność wstrzyknięcia shortcode, która pozwala nieuwierzytelnionym atakującym na wykonanie zarejestrowanych shortcode'ów poprzez parametr wyszukiwania mcs. Wartość mcs trafia do mc_search_results() bez kodowania nawiasów przed uruchomieniem do_shortcode, więc żądanie GET uruchamia shortcode'y na dowolnej stronie lub wpisie, umożliwiając wstrzyknięcie treści i podszywanie się.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Joe Dolson My Calendar my-calendar allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects My Calendar: from n/a through <= 3.6.16.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS