CVE-2026-104798

WordPress üçün olan My Calendar – Accessible Event Manager plagini 3.8.7 versiyası daxil olmaqla bütün versiyalarda İmtiyazların Yüksəldilməsi zəifliyinə malikdir. İctimai `mcs` GET parametri, WordPress nüvəsinin `do_shortcode` filtri işləməzdən əvvəl təmizlənmədən yazı məzmununa əks olunur və bu, autentifikasiya olunmamış hücumçuya iç-içə `[my_calendar above=...]` shortcode-unu yerləşdirməyə imkan verir; daha sonra `mc_generate_calendar_nav()` funksiyası `above` atributunu vergüllər üzrə bölür və hər bir elementi heç bir autentifikasiya, avtorizasiya və ya çağırıla bilən ağ siyahı yoxlaması olmadan `call_user_func()` vasitəsilə göndərir. Bu, autentifikasiya olunmamış hücumçulara yüklənmiş istənilən PHP funksiyalarını çağırmağa imkan verir ki, bu da shortcode `$params` massivinin `edit_user()` funksiyasına ötürüldüyü bir çağırış zəncirini aktivləşdirir — PHP bunu `$user_id` arqumenti kimi tam ədəd `1`-ə çevirir — nəticədə ilk Administrator hesabının (istifadəçi ID 1) etibarlılıq məlumatları overwrite edilir və hücumçuya tam wp-admin girişi verilir. Eksploytasiya, plagin aktivləşdirildikdə standart olaraq hamı üçün açıq olan plagiinin avtomatik yaradılmış `/my-calendar/` səhifəsi vasitəsilə asanlıqla həyata keçirilə bilər.