CVE-2026-6854: Blind SQL Injection w wtyczce My Calendar dla WordPress

Co wiadomo

Wtyczka My Calendar – Accessible Event Manager dla WordPress do wersji 3.7.8 jest podatna na czasową ślepą SQL Injection przez parametr 'mc_auth'. Brak odpowiedniego zabezpieczenia parametrów umożliwia nieautoryzowanym atakującym wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa stron opartych na WordPress z zainstalowaną wtyczką My Calendar. Atakujący mogą uzyskać dostęp do wrażliwych informacji z bazy danych, co może prowadzić do naruszenia prywatności użytkowników i kompromitacji całej witryny. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i działać szybko, aby ograniczyć potencjalne szkody.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki My Calendar i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do parametrów wrażliwych, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na ataki.

Źródła

• NVD
• Reference
• Reference