Критическая RCE в WordPress-плагине The Events Calendar (CVE-2026-78006)

В популярном WordPress-плагине The Events Calendar, разработанном компанией stellarwp, выявлена уязвимость критического уровня, получившая идентификатор CVE-2026-78006. Она позволяет неаутентифицированному атакующему удалённо выполнять произвольный код на сервере, что делает её особенно опасной для сайтов, где плагин активно используется для публикации событий и приёма комментариев.

Подробности

Уязвимость затрагивает все версии плагина The Events Calendar вплоть до 6.17.4 включительно. Оценка по шкале CVSS составляет 9.8 (CRITICAL), что указывает на максимальную степень риска. В основе проблемы лежит недостаточная защита в функции is_safe_widget_instance. Встроенные механизмы проверки можно обойти благодаря тому, что PHP вызывает магические методы на этапе предварительного разбора (pre-parse) данных. Дополнительно функция enable_rendering_widget_copied() позволяет подделать корректный атрибут целостности wp_hash ещё до того, как управление дойдёт до вызова unserialize(). В результате возникает цепочка PHP Object Injection, которая перерастает в удалённое выполнение кода. Ключевая особенность этой уязвимости — возможность эксплуатации без какой-либо аутентификации или одобрения со стороны модератора. Шаблон одиночного события V2 выполняет функцию do_blocks() над буферизованным HTML комментария, а WordPress возвращает URL с moderation-hash. Это позволяет неаутентифицированному комментатору сразу просмотреть собственный комментарий, находящийся на модерации, и доставить внедрённую разметку блока в уязвимый участок кода ещё до проверки. Единственное условие эксплуатации — комментарии к событиям должны быть включены и видимы.

Что делать

Основная рекомендация — как можно скорее обновить плагин The Events Calendar до версии выше 6.17.4, в которой разработчики устранили уязвимость. Если немедленное обновление невозможно, следует рассмотреть временные меры: - отключить комментарии к событиям или ограничить их видимость; - ограничить приём комментариев от неаутентифицированных пользователей; - по возможности временно деактивировать плагин до установки патча; - усилить мониторинг веб-сервера и журналов на предмет подозрительной активности, связанной с обработкой комментариев и вызовами unserialize(). Также рекомендуется провести проверку сайта на предмет возможной компрометации, поскольку при эксплуатации данной уязвимости злоумышленник получает возможность исполнять произвольный код. Итог: CVE-2026-78006 — серьёзная угроза для всех сайтов на WordPress с плагином The Events Calendar версии 6.17.4 и ниже. Учитывая критический уровень CVSS и отсутствие необходимости в аутентификации, обновление следует установить в приоритетном порядке, а при наличии включённых комментариев к событиям — не откладывать его ни на день.

Источник: CVE Project (cvelistV5)