Вразливість віддаленого виконання коду у плагіні The Events Calendar для WordPress (CVE-2026-78159)

Що відомо

Плагін The Events Calendar для WordPress містить критичну вразливість віддаленого виконання коду у версіях до 6.17.3 включно через недостатню перевірку параметрів віджетів. Це дозволяє неавторизованим зловмисникам запускати довільний код на сервері за умови, що на сайті ввімкнені коментарі до tribe_events і додано спеціально сформований коментар.

Бізнес-вплив

Вразливість з високим рівнем критичності (CVSS 9.8) може призвести до повного компрометації веб-сервера, що впливає на цілісність, конфіденційність та доступність даних. Власники сайтів на WordPress з активним плагіном The Events Calendar повинні розглядати цю загрозу як пріоритетну для негайного усунення, оскільки експлуатація не потребує автентифікації.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна The Events Calendar та встановити останню безпечну версію, якщо вона доступна. Якщо оновлення недоступне, слід обмежити або тимчасово вимкнути коментарі на tribe_events, а також провести аудит журналів на предмет підозрілої активності. Рекомендується також зменшити мережеву експозицію сайту та регулярно перевіряти резервні копії. DataHouse підтримує клієнтів у перевірці версій плагінів, управлінні патчами та аналізі логів для підвищення безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference