Injection d'objets PHP affectant l'extension WordPress The Events Calendar
Une vulnérabilité critique affectant l'extension The Events Calendar permettrait à un attaquant non authentifié d'exécuter du code arbitraire à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
The Events Calendar est une extension WordPress populaire destinée à la création et à la gestion d'événements. Cette extension est affectée par une vulnérabilité libellée CVE-2026-78265, résultant d'une injection d'objets PHP sans authentification. Son exploitation permettrait à un acteur malveillant non authentifié de manipuler des données sérialisées afin d'exécuter du code arbitraire à distance ou de mener d'autres actions non autorisées sur le système. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Atteinte à la confidentialité des données ;
- Atteinte à l'intégrité des données ;
- Atteinte à la disponibilité des données ;
- Exécution de code arbitraire à distance.
Systèmes affectés
Produits, composants et versions concernés
- Versions de l'extension The Events Calendar antérieures à 6.17.3.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour The Events Calendar vers la version 6.17.3 ou supérieure.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.