CVE-2026-78006

Nome do Software Vulnerável e Versões Afetadas The Events Calendar versões anteriores a 6.17.5

Descrição Atacantes não autenticados podem executar código remotamente no servidor devido a uma proteção insuficiente na função is safe widget instance(). O problema ocorre porque os métodos mágicos do PHP são acionados durante o pré-processamento (pre-parse), e a função enable rendering widget copied() pode forjar um atributo de integridade wp hash válido antes que a função unserialize() seja alcançada. Isso permite a Injeção de Objetos PHP. A falha é explorável quando os comentários estão habilitados e visíveis em eventos, pois o template de evento único V2 processa do blocks() sobre o HTML de comentários bufferizado. Um comentador não autenticado pode usar uma URL de hash de moderação para visualizar seu comentário pendente imediatamente, entregando a marcação de bloco injetada ao caminho de código vulnerável antes que a moderação ocorra.

Recomendações Atualize o The Events Calendar para a versão 6.17.5 ou posterior. Como medida de mitigação temporária, desative os comentários em eventos para evitar a entrega de marcações injetadas ao caminho de código vulnerável.