Multiples vulnérabilités affectant l'extension WordPress The Events Calendar

The Events Calendar est une extension WordPress populaire destinée à la création et à la gestion d'événements. Ce produit est affecté par plusieurs vulnérabilités libellées comme suit : CVE-2026-78006 : vulnérabilité résultant d'une protection insuffisante dans la fonction is_safe_widget_instance, contournable car PHP déclenche des méthodes magiques lors de son pré-analyse, combinée à enable_rendering_widget_copied(), qui forge un attribut d'intégrité wp_hash valide avant l'appel à unserialize(). Son exploitation permettrait à un acteur malveillant non authentifié d'exécuter du code à distance sur le serveur. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS v3.1. CVE-2026-78159 : vulnérabilité causée par une validation insuffisante de la table « classes » du widget, qui permet à une simple charge de type tableau de contourner le contrôle d'objet de is_safe_widget_instance() et d'atteindre la vulnérabilité d'invocation de fonction dans Element_Classes::parse_array(). Son exploitation permettrait à un acteur malveillant non authentifié d'exécuter du code à distance sur le serveur. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS v3.1.

• Versions de l'extension The Events Calendar jusqu'à la 6.17.4 incluse.