CVE-2026-78006

El plugin The Events Calendar para WordPress es vulnerable a Remote Code Execution en todas las versiones hasta la 6.17.4, incluida, mediante la función is_safe_widget_instance. Esto se debe a una protección insuficiente en is_safe_widget_instance, que puede eludirse porque PHP ejecuta métodos mágicos durante su preanálisis, combinado con enable_rendering_widget_copied(), que falsifica un atributo de integridad wp_hash válido antes de que se alcance unserialize(). Esto permite a atacantes no autenticados ejecutar código en el servidor. Esto es explotable sin autenticación ni aprobación porque la plantilla de evento individual V2 del plugin ejecuta do_blocks() sobre HTML de comentarios almacenado en búfer, y WordPress devuelve una URL con hash de moderación que permite a un comentarista no autenticado ver inmediatamente su propio comentario pendiente, entregando el marcado del bloque inyectado a la ruta de código vulnerable antes de que tenga lugar cualquier moderación. Esto requiere que los comentarios estén habilitados y sean visibles en los eventos.