CVE-2026-78006

Das The Events Calendar-Plugin für WordPress ist in allen Versionen bis einschließlich 6.17.4 über die Funktion is_safe_widget_instance für Remote Code Execution anfällig. Dies ist auf unzureichenden Schutz in is_safe_widget_instance zurückzuführen, der umgangen werden kann, weil PHP während seines Pre-Parse-Vorgangs Magic Methods ausführt, kombiniert mit enable_rendering_widget_copied(), das ein gültiges wp_hash-Integritätsattribut fälscht, bevor unserialize() erreicht wird. Dies ermöglicht es nicht authentifizierten Angreifern, Code auf dem Server auszuführen. Dies ist ohne Authentifizierung oder Genehmigung ausnutzbar, weil die V2-Single-Event-Vorlage des Plugins do_blocks() über gepuffertes Kommentar-HTML ausführt und WordPress eine Moderation-Hash-URL zurückgibt, die es einem nicht authentifizierten Kommentator ermöglicht, seinen eigenen ausstehenden Kommentar sofort anzuzeigen, wodurch das injizierte Block-Markup an den verwundbaren Codepfad übermittelt wird, bevor eine Moderation stattfindet. Dies setzt voraus, dass Kommentare für Ereignisse aktiviert und sichtbar sind.