CVE-2026-78006

WordPress için geliştirilen The Events Calendar eklentisinin 6.17.4 dahil tüm önceki sürümleri, is_safe_widget_instance fonksiyonu üzerinden Uzaktan Kod Çalıştırma zafiyetine sahiptir. Bu durum, is_safe_widget_instance içerisindeki yetersiz korumadan kaynaklanmaktadır; PHP'nin ön ayrıştırma sırasında sihirli yöntemleri tetiklemesi ve enable_rendering_widget_copied() fonksiyonunun unserialize() işlemine ulaşılmadan önce geçerli bir wp_hash bütünlük özniteliği oluşturması nedeniyle bu koruma atlatılabilir. Bu durum, kimliği doğrulanmamış saldırganların sunucu üzerinde kod çalıştırmasını mümkün kılar. Eklentinin V2 tekil etkinlik şablonunun tamponlanmış yorum HTML'i üzerinde do_blocks() çalıştırması ve WordPress'in, kimliği doğrulanmamış bir yorumcunun bekleyen kendi yorumunu hemen görmesine izin veren bir moderasyon-hash URL'si döndürmesi nedeniyle, herhangi bir moderasyon gerçekleşmeden önce enjekte edilen blok işaretlemesi savunmasız kod yoluna iletilir; bu da zafiyetin kimlik doğrulama veya onay olmaksızın istismar edilmesine olanak tanır. Bunun için etkinliklerde yorumların etkinleştirilmiş ve görünür olması gerekmektedir.