Уязвимость SQL-инъекции в плагине Modern Events Calendar (Lite & Pro) — CVE-2026-96534
В плагинах Modern Events Calendar Lite и Pro (версии до 7.37.0) обнаружена уязвимость SQL-инъекции через параметр mec_fes_csv_export. Эксплуатация доступна аутентифицированным пользователям с минимальными привилегиями (Subscriber и выше), что делает угрозу особенно опасной для сайтов с открытой регистрацией.
Подробности
Уязвимость присутствует в Modern Events Calendar Lite и Modern Event Calendar Pro версий до 7.37.0. Причина — отсутствие надлежащей санитизации и экранирования параметра, который передаётся в SQL-запрос (функциональность экспорта CSV, параметр mec_fes_csv_export). В результате пользователь с минимальными правами — Subscriber и выше — может выполнить SQL-инъекцию. Ключевая особенность этой уязвимости — низкий порог эксплуатации. Злоумышленнику не нужны административные привилегии: достаточно учётной записи подписчика, которую можно получить, например, через открытую регистрацию на сайте. Это существенно расширяет круг потенциальных атакующих и повышает риск для сайтов, где регистрация пользователей доступна публично. Через SQL-инъекцию атакующий потенциально способен получить доступ к данным базы, включая учётные записи и другую чувствительную информацию. Конкретное значение CVSS в записи CVE не указано.Что делать
Основная рекомендация — обновить Modern Events Calendar Lite и Pro до версии 7.37.0 или выше, где проблема устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные митигации: ограничить или закрыть публичную регистрацию пользователей, пересмотреть роли и права существующих учётных записей, а также усилить мониторинг подозрительной активности, связанной с запросами к функциональности экспорта CSV. Дополнительно рекомендуется провести проверку журналов веб-сервера и базы данных на предмет аномальных запросов, которые могли свидетельствовать о попытках эксплуатации, и, при наличии признаков компрометации, сменить учётные данные и провести аудит содержимого сайта.Итог
CVE-2026-96534 — серьёзная уязвимость, поскольку требует лишь минимальных привилегий для эксплуатации. Владельцам сайтов на WordPress с установленным Modern Events Calendar (Lite или Pro) следует как можно быстрее обновиться до версии 7.37.0 и проверить настройки регистрации пользователей.Источник: CVE Project (cvelistV5)