Kwetsbaarheid voor ongeauthenticeerde shortcode-injectie in WordPress-plugin The Events Calendar (CVE-2026-84740)

Wat is er gebeurd

Er is een kwetsbaarheid bekendgemaakt in de WordPress-plugin The Events Calendar. Door de fout kunnen niet-geauthenticeerde gebruikers willekeurige shortcodes uitvoeren die op de site zijn geregistreerd. Dit is mogelijk via een ongeauthenticeerde AJAX-actie die ingediende gegevens niet valideert of opschoont voordat deze in de renderingcontext van de plugin worden samengevoegd.

Technische oorzaak

De onderliggende oorzaak valt onder CWE-74 (onjuiste neutralisatie van speciale elementen in uitvoer die door een downstream-component wordt gebruikt, ook bekend als injectie). Concreet worden gegevens die naar een ongeauthenticeerde AJAX-actie worden verzonden niet gevalideerd of opgeschoond voordat ze in de renderingcontext van de plugin worden samengevoegd. Omdat voor deze AJAX-actie geen authenticatie vereist is, kan een aanvaller zonder account op de site invoer aanleveren die ervoor zorgt dat willekeurige, op de site geregistreerde shortcodes worden uitgevoerd.

Waarom dit belangrijk is

Shortcode-injectie kan een aanvaller in staat stellen functionaliteit te activeren die via elke op de site geregistreerde shortcode beschikbaar is, inclusief shortcodes die door andere plugins of thema's zijn toegevoegd. Dit kan, afhankelijk van welke shortcodes beschikbaar zijn, tot uiteenlopende gevolgen leiden. Omdat voor deze kwetsbaarheid geen authenticatie en geen gebruikersinteractie vereist is, kan deze rechtstreeks door een externe aanvaller worden geactiveerd op elke bereikbare, getroffen site.

Getroffen versies

Versies van de plugin The Events Calendar vanaf 6.12.0 tot (maar niet met) 6.17.5.1 zijn getroffen.

Fixes en mitigatie

Volgens het feitenpakket is er momenteel geen bevestigde fix beschikbaar voor deze kwetsbaarheid (fix_available: false). Sitebeheerders wordt geadviseerd de officiële pluginpagina en changelog van de leverancier in de gaten te houden voor een update die CVE-2026-84740 verhelpt. Totdat een bevestigde fix wordt uitgebracht, kan het overwegen waard zijn om, waar mogelijk, de toegang tot AJAX-eindpunten te beperken of een web application firewall in te zetten als tijdelijke compenserende maatregel.

Aanbevolen actie

Sitebeheerders die de plugin The Events Calendar gebruiken, moeten controleren of hun geïnstalleerde versie binnen het getroffen bereik valt (6.12.0 tot, maar niet met, 6.17.5.1). Omdat in de beschikbare gegevens geen gefixte versie wordt bevestigd, dient de officiële changelog van de plugin rechtstreeks te worden geraadpleegd voor updates die dit probleem verhelpen. Pas een beschikbare update zo snel mogelijk toe zodra deze wordt uitgebracht.