CVE-2026-40308
Açıklama
My Calendar, takvim etkinliklerini yönetmek için kullanılan bir WordPress eklentisidir. 3.7.6 ve altı sürümlerde, kimliği doğrulanmamış kullanıcılar için kaydedilen mc_ajax_mcjs_action AJAX uç noktası, kullanıcı tarafından sağlanan bağımsız değişkenleri herhangi bir doğrulama yapmadan parse_str() üzerinden geçirerek, bir site değeri dahil olmak üzere rastgele parametrelerin enjekte edilmesine izin verir. WordPress Multisite kurulumlarında bu durum, kimliği doğrulanmamış bir saldırganın rastgele bir site ID'si ile switch_to_blog() fonksiyonunu çağırmasına ve ağdaki gizli veya saklı etkinlikler de dahil olmak üzere herhangi bir alt siteden takvim etkinliklerini çıkarmasına olanak tanır. Standart Tek Site (Single Site) kurulumlarında ise switch_to_blog() mevcut olmadığından, yakalanamayan bir PHP kritik hatasına yol açarak çalışan iş parçacığını çökertir ve kimlik doğrulaması gerektirmeyen bir hizmet reddi vektörü oluşturur. Bu sorun 3.7.7 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- joedolson/my-calendar3.7.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joedolson/my-calendarPackagist | v < 3.7.7 | 3.7.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.