Analytical use of cookies
Уразливість у плагіні My Calendar для WordPress дозволяє неавторизованому доступу до подій календаря
Виявлено критичну уразливість у плагіні My Calendar для WordPress, що дозволяє неавторизованим користувачам отримувати доступ до приватних подій або викликати DoS.
- CVSS
- 8.8 HIGH
- EPSS
- 57.02%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
У версіях плагіна My Calendar для WordPress 3.7.6 і нижче виявлено уразливість, що дозволяє неавторизованим користувачам через AJAX-ендпоінт виконувати довільні параметри, включно з ідентифікатором сайту. Це дає змогу на мультисайтових установках отримувати доступ до приватних подій будь-якого підсайту, а на звичайних сайтах викликати аварійне завершення роботи, створюючи вектор DoS.
Бізнес-вплив
Для власників мультисайтових WordPress мереж ця уразливість може призвести до витоку конфіденційної інформації з приватних або прихованих календарних подій. На звичайних сайтах можливий віддалений DoS через аварійне завершення PHP-процесу, що впливає на доступність сервісу. Це створює серйозні ризики для безпеки даних і стабільності роботи веб-інфраструктури.
Рекомендовані дії адміністратора
Рекомендується терміново оновити плагін My Calendar до версії 3.7.7 або новішої, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити доступ до AJAX-ендпоінту, переглянути журнали на предмет підозрілої активності та пріоритезувати виправлення в планах безпеки. Також варто перевірити конфігурацію мультисайтової мережі на предмет додаткових обмежень доступу.