CVE-2026-78159
Açıklama
WordPress için The Events Calendar eklentisi, 6.17.3 dahil tüm önceki sürümlerde parse_array fonksiyonu üzerinden Uzaktan Kod Çalıştırma zafiyetine sahiptir. Bu durum, widget 'classes' haritasının yetersiz doğrulanmasından kaynaklanmakta ve bir düz dizi (plain-array) yükünün is_safe_widget_instance() nesne kontrolünü atlayarak Element_Classes::parse_array() içindeki çağrılabilir çağırma (callable-invocation) noktasına ulaşmasına izin vermektedir. Bu durum, kimliği doğrulanmamış saldırganların sunucu üzerinde kod çalıştırmasını mümkün kılar. İstismarın gerçekleşmesi için hedef sitede tribe_events yazılarına yorumların açık olması ve özel olarak hazırlanmış bir wp:legacy-widget bloğu içeren en az bir yorumun gönderilmiş olması gerekir; çünkü saldırı zinciri, do_blocks() fonksiyonu yorum alanını da içeren tekil etkinlik HTML'sini işlediğinde tetiklenmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| stellarwp The Events Calendar | v ≤ 6.17.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.