CVE-2026-78159

L’extension The Events Calendar pour WordPress est vulnérable à l’exécution de code à distance dans toutes les versions jusqu’à la version 6.17.3 incluse via la fonction parse_array. Cela est dû à une validation insuffisante de la map « classes » du widget, permettant à une charge utile sous forme de tableau simple de contourner la vérification d’objet is_safe_widget_instance() et d’atteindre le point d’appel de fonction dans Element_Classes::parse_array(). Il est ainsi possible pour des attaquants non authentifiés d’exécuter du code sur le serveur. L’exploitation nécessite que le site ciblé ait activé les commentaires sur les publications tribe_events et qu’au moins un commentaire contenant un bloc wp:legacy-widget spécialement conçu ait été soumis, car la chaîne d’attaque est déclenchée lorsque do_blocks() traite le HTML de l’événement unique, y compris la zone de commentaires.