PT-2026-40850 · WordPress · My Calendar – Accessible Event Manager

CVE-2026-7525 · Publicado 2026-05-14 · Atualizado 2026-05-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas My Calendar – Accessible Event Manager versões anteriores a 3.8.0

Descrição O plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com acesso de nível personalizado ou superior podem ignorar o fluxo de moderação e aprovação manipulando o corpo da requisição POST. Isso permite que eles publiquem eventos ou definam status não autorizados, como cancelado ou privado, de formas que sua função não permitiria. Embora a interface do usuário restrinja usuários de baixo privilégio a um botão de envio apenas para rascunho, essa restrição é aplicada apenas no lado do cliente, podendo ser facilmente contornada através da manipulação direta da requisição POST.

Recomendações Atualize para uma versão posterior à 3.7.9.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-7525

Produtos afetados

My Calendar – Accessible Event Manager

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/7xxx/CVE-2026-7525.json · Exploit
• https://github.com/joedolson/my-calendar/commit/98aef8fbfc6ca4cfe50aaa36761d5f1eb629dfe4 · Nota
• https://plugins.trac.wordpress.org/browser/my-calendar/tags/3.7.9/my-calendar-event-editor.php#L406 · Nota
• https://plugins.trac.wordpress.org/browser/my-calendar/tags/3.7.4/my-calendar-event-editor.php#L2384 · Nota
• https://t.me/CVEtracker/53734 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-7525 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/my-calendar/trunk/my-calendar-event-editor.php#L2384 · Nota
• https://plugins.trac.wordpress.org/browser/my-calendar/tags/3.7.9/my-calendar-event-editor.php#L2384 · Nota
• https://plugins.trac.wordpress.org/browser/my-calendar/tags/3.7.9/my-calendar-event-editor.php#L601 · Nota
• https://plugins.trac.wordpress.org/browser/my-calendar/tags/3.7.4/my-calendar-event-editor.php#L601 · Nota
• https://t.me/cveNotify/163397 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/my-calendar/trunk/my-calendar-event-editor.php#L406 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3527861%40my-calendar&new=3527861%40my-calendar&sfp_email=&sfph_mail= · Nota
• https://plugins.trac.wordpress.org/browser/my-calendar/tags/3.7.4/my-calendar-event-editor.php#L406 · Nota
• https://osv.dev/vulnerability/CVE-2026-7525 · Aviso do Fabricante