CVE-2026-104798
Açıklama
WordPress için geliştirilen My Calendar – Accessible Event Manager eklentisi, 3.8.7 sürümü dahil tüm önceki sürümlerde Yetki Yükseltme zafiyetine sahiptir. Genel `mcs` GET parametresi, WordPress çekirdeğinin `do_shortcode` filtresi çalışmadan önce temizlenmeden yazı içeriğine yansıtılmaktadır; bu durum, kimliği doğrulanmamış bir saldırganın iç içe geçmiş bir `[my_calendar above=...]` kısa kodu (shortcode) enjekte etmesine olanak tanır; ardından `mc_generate_calendar_nav()` fonksiyonu, `above` özniteliğini virgüllere göre ayırır ve her bir öğeyi herhangi bir kimlik doğrulama, yetkilendirme veya çağrılabilir izin listesi kontrolü olmaksızın `call_user_func()` aracılığıyla iletir. Bu durum, kimliği doğrulanmamış saldırganların rastgele yüklü PHP fonksiyonlarını çağırmasını mümkün kılarak, kısa kodun `$params` dizisinin `edit_user()` fonksiyonuna aktarıldığı bir çağrı zincinine yol açar — PHP bunu `$user_id` argümanı olarak tam sayı `1` değerine zorlar — böylece ilk Yönetici hesabının (kullanıcı kimliği 1) kimlik bilgileri üzerine yazılarak saldırgana tam wp-admin erişimi sağlanır. İstismar, eklenti etkinleştirildiğinde varsayılan olarak herkese açık olan, eklentinin otomatik oluşturduğu `/my-calendar/` sayfası üzerinden kolayca gerçekleştirilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joedolson My Calendar – Accessible Event Manager | v ≤ 3.4.24, 3.5 ≤ v ≤ 3.5.21, 3.6 ≤ v ≤ 3.6.17, 3.7 ≤ v ≤ 3.7.17, 3.8 ≤ v ≤ 3.8.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.