CVE-2026-78159

Nome do Software Vulnerável e Versões Afetadas The Events Calendar versões anteriores a 6.17.4

Description Atacantes não autenticados podem realizar a Execução Remota de Código no servidor através da função parse array() em Element Classes::parse array(). O problema decorre da validação insuficiente do mapa classes do widget, permitindo que um payload de array simples ignore a verificação de objeto is safe widget instance() e atinja um sumidouro de invocação chamável. Esta cadeia de ataque é acionada quando o do blocks() processa o HTML de evento único, incluindo a área de comentários. A exploração bem-sucedida requer que o site tenha comentários habilitados em postagens tribe events e que um comentário contendo um bloco wp:legacy-widget manipulado tenha sido enviado.

Recommendations Atualize o The Events Calendar para a versão 6.17.4 ou posterior. Como medida de mitigação temporária, desative os comentários em postagens tribe events para evitar que a cadeia de ataque seja acionada.