CVE-2026-104798

Nome do Software Vulnerável e Versões Afetadas My Calendar – Accessible Event Manager versões anteriores a 3.8.8

Descrição Um invasor não autenticado pode obter escalonamento de privilégios explorando a página /my-calendar/. O problema ocorre porque o parâmetro GET mcs é refletido no conteúdo da postagem sem sanitização antes da execução do filtro do shortcode. Isso permite a injeção de um shortcode aninhado [my calendar above=...]. A função mc generate calendar nav() então processa o atributo above e executa elementos via call user func() sem verificações de autenticação ou autorização. Ao invocar funções PHP arbitrárias, um invasor pode passar a array $params para edit user(), que o PHP converte para o inteiro 1 como argumento $user id. Esse processo sobrescreve as credenciais da conta Administradora principal, concedendo ao invasor acesso administrativo total ao painel do WordPress.

Recomendações Atualize o plugin para uma versão posterior à 3.8.7. Como medida de mitigação temporária, restrinja o acesso público à página /my-calendar/.