Résumé
généré automatiquement à partir des données NVDLe plugin The Events Calendar pour WordPress, dans toutes ses versions jusqu'à la 6.17.4 incluse, permet une exécution de code à distance (CWE-502, désérialisation) via la fonction is_safe_widget_instance. La protection peut être contournée, car PHP déclenche des méthodes magiques lors de son pré-parsing et enable_rendering_widget_copied() forge un attribut wp_hash valide avant unserialize(). Un attaquant non authentifié peut ainsi exécuter du code sur le serveur, à condition que les commentaires soient activés et visibles sur les événements. Score CVSS v3.1 : 9.8 (CRITICAL).
Description NVD (anglais)
The The Events Calendar plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 6.17.4 via the is_safe_widget_instance function. This is due to insufficient protection in is_safe_widget_instance, which can be bypassed because PHP fires magic methods during its pre-parse, combined with enable_rendering_widget_copied() forging a valid wp_hash integrity attribute before unserialize() is reached. This makes it possible for unauthenticated attackers to execute code on the server. This is exploitable without authentication or approval because the plugin's V2 single-event template runs do_blocks() over buffered comment HTML, and WordPress returns a moderation-hash URL that allows an unauthenticated commenter to immediately view their own pending comment, delivering the injected block markup to the vulnerable code path before any moderation occurs. This does require comments to be enabled and visible on events.
EPSS · FIRST.org
1,5 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 73 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 18 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 12 sept. 2026
- Mis à jour
- 14 sept. 2026
- Statut
- Deferred
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (7)
CVEs similaires
Autres vulnérabilités de type CWE-502
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.