CVE-2026-78006

L’extension The Events Calendar pour WordPress est vulnérable à une exécution de code à distance dans toutes les versions jusqu’à la version 6.17.4 incluse via la fonction is_safe_widget_instance. Cela est dû à une protection insuffisante dans is_safe_widget_instance, qui peut être contournée parce que PHP déclenche les méthodes magiques lors de son pré-analyse, en combinaison avec enable_rendering_widget_copied(), qui forge un attribut d’intégrité wp_hash valide avant que unserialize() ne soit atteint. Cela permet à des attaquants non authentifiés d’exécuter du code sur le serveur. Cette vulnérabilité est exploitable sans authentification ni approbation, car le modèle V2 d’événement unique de l’extension exécute do_blocks() sur du code HTML de commentaire mis en mémoire tampon, et WordPress renvoie une URL contenant un hash de modération qui permet à un commentateur non authentifié d’afficher immédiatement son propre commentaire en attente, transmettant le balisage de bloc injecté au chemin de code vulnérable avant toute modération. Cela nécessite toutefois que les commentaires soient activés et visibles sur les événements.