PT-2026-33370 · WordPress · My Calendar
CVE-2026-40308
·
Publicado
2026-04-16
·
Atualizado
2026-04-22
CVSS v4.0
8.8
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N |
Name of the Vulnerable Software and Affected Versions
My Calendar versões anteriores a 3.7.7
Description
Um problema de autenticação existe no endpoint AJAX 'mc ajax mcjs action', que é registrado para usuários não autenticados. O endpoint passa argumentos fornecidos pelo usuário através da função
parse str() sem a validação adequada, permitindo a injeção de parâmetros arbitrários, incluindo um valor site. Isso é processado pela função my calendar upcoming events().Em instalações WordPress Multisite, isso permite que um invasor não autenticado use a função
switch to blog() com um ID de site arbitrário para extrair eventos de calendário de qualquer sub-site na rede, incluindo eventos privados ou ocultos. Em instalações Single Site padrão, a função switch to blog() não existe, o que dispara um erro fatal de PHP não capturado e trava a thread do worker, resultando em uma negação de serviço.Recommendations
Atualizar para a versão 3.7.7.
Exploit
Correção
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
My Calendar