Résumé
généré automatiquement à partir des données NVDLe plugin The Events Calendar pour WordPress est affecté, dans toutes les versions jusqu'à 6.17.3 incluse, par une exécution de code à distance (CWE-94) via la fonction parse_array. Une validation insuffisante de la map « classes » des widgets permet à un tableau simple de contourner is_safe_widget_instance() et d'atteindre l'appel de callable dans Element_Classes::parse_array(), ce qui autorise un attaquant non authentifié à exécuter du code sur le serveur. L'exploitation exige des commentaires activés sur les posts tribe_events et un commentaire contenant un bloc wp:legacy-widget forgé. Score CVSS v3.1 : 9.8 (critique).
Description NVD (anglais)
The The Events Calendar plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 6.17.3 via the parse_array function. This is due to insufficient validation of the widget 'classes' map, allowing a plain-array payload to bypass the is_safe_widget_instance() object check and reach the callable-invocation sink in Element_Classes::parse_array(). This makes it possible for unauthenticated attackers to execute code on the server. Exploitation requires that the targeted site has comments enabled on tribe_events posts and that at least one comment containing a crafted wp:legacy-widget block has been submitted, as the attack chain is triggered when do_blocks() processes the single-event HTML including the comment area.
EPSS · FIRST.org
1,4 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 71 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 12 sept. 2026
- Mis à jour
- 14 sept. 2026
- Statut
- Deferred
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (7)
CVEs similaires
Autres vulnérabilités de type CWE-94
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.