CVE-2026-119714
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka My Calendar dla WordPressa w wersjach 3.8.8 do 3.8.11 zawiera podatność wstrzyknięcia shortcode, która pozwala nieuwierzytelnionym atakującym na wykonanie zarejestrowanych shortcode'ów poprzez parametr wyszukiwania mcs. Wartość mcs trafia do mc_search_results() bez kodowania nawiasów przed uruchomieniem do_shortcode, więc żądanie GET uruchamia shortcode'y na dowolnej stronie lub wpisie, umożliwiając wstrzyknięcie treści i podszywanie się.
Ocena ryzyka
Atakujący może wstrzyknąć dowolną treść lub wykonać akcje zarejestrowanych shortcode'ów na stronach witryny. Może to prowadzić do oszustwa wobec odwiedzających lub ujawnienia informacji.
Rekomendacja
Zaktualizuj wtyczkę My Calendar do wersji 3.8.11 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do parametru mcs.
Inne podatności w My Calendar
Zobacz wszystkie- CVE-2026-40308Wysokie
My Calendar (wtyczka WordPress) w wersjach 3.7.6 i niższych ma podatność w punkcie końcowym mc_ajax_mcjs_action, który jest dostępny dla nieuwierzytelnionych użytkowników. Parametry są przekazywane przez parse_str() bez walidacji, co pozwala na wstrzyknięcie parametru site. W instalacjach Multisite umożliwia to nieuwierzytelnionemu atakującemu wywołanie switch_to_blog() i wyciągnięcie wydarzeń z dowolnej podstrony, w tym prywatnych. W instalacjach Single Site powoduje to nieobsłużony błąd PHP i awarię wątku roboczego (DoS).
- CVE-2026-104798Krytyczne
Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.
- CVE-2025-67592Średnie
Wtyczka My Calendar Joe Dolsona do WordPressa do wersji 3.6.16 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykorzystać tę lukę do nieautoryzowanych działań.
Oryginalny opis (angielski, źródło NVD)
My Calendar WordPress plugin 3.8.8 before 3.8.11 contains a shortcode injection vulnerability that allows unauthenticated attackers to execute registered shortcodes via the mcs search parameter. The mcs value reaches mc_search_results() in src/my-calendar-search.php without bracket encoding before do_shortcode runs, so a GET request triggers shortcodes on any page or post, enabling content injection and spoofing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS