Kritieke PHP Object Injection-kwetsbaarheid in WordPress-plugin The Events Calendar (CVE-2026-95606)

Wat is er gebeurd

In de WordPress-plugin The Events Calendar is een kwetsbaarheid vastgesteld die te maken heeft met deserialisatie van niet-vertrouwde data (CWE-502). Hierdoor kan een aanvaller PHP Object Injection veroorzaken door speciaal geprepareerde geserialiseerde data aan te bieden die de plugin verwerkt zonder voldoende validatie. De kwetsbaarheid staat geregistreerd als CVE-2026-95606.

Technische oorzaak

De oorzaak ligt in onveilige deserialisatie van niet-vertrouwde invoer (CWE-502). Wanneer een applicatie data deserialiseert die door een aanvaller gecontroleerd kan worden, zonder afdoende beveiligingen, kan dit leiden tot het injecteren van willekeurige PHP-objecten. Afhankelijk van de klassen die beschikbaar zijn binnen de autoload-keten van de applicatie, kan zo'n object injection mogelijk verder worden misbruikt, bijvoorbeeld voor remote code execution. Het feitenpakket bevestigt echter geen specifieke exploitatieketen voor deze plugin.

Waarom dit belangrijk is

De kwetsbaarheid heeft een CVSS 3.1-basisscore van 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Dit betekent dat de kwetsbaarheid op afstand via het netwerk kan worden uitgebuit, zonder authenticatie, zonder gebruikersinteractie en met lage aanvalscomplexiteit. Een geslaagde aanval kan leiden tot grote impact op vertrouwelijkheid, integriteit en beschikbaarheid van de getroffen site.

Wie wordt getroffen

Elke WordPress-site die The Events Calendar gebruikt tot en met versie 6.17.4 kan getroffen zijn. De plugin wordt op grote schaal gebruikt, wat de blootstelling binnen het WordPress-ecosysteem vergroot.

Getroffen versies

Versies van The Events Calendar tot en met 6.17.4 staan vermeld als getroffen. In de advisory-data over het getroffen bereik wordt versie 6.17.4.1 genoemd als grens voor de gefixte release, maar het feitenpakket bevestigt niet dat er daadwerkelijk een fix is gepubliceerd (fix_available staat op false). Beheerders moeten dit beschouwen als een openstaande vraag, in afwachting van bevestiging door de leverancier.

Fixes en mitigatie

Op het moment van deze briefing is er volgens het feitenpakket geen bevestigde fix beschikbaar, ondanks dat de data over het getroffen bereik versie 6.17.4.1 noemt als grenswaarde. Dit is een opvallende inconsistentie in de beschikbare gegevens. Beheerders wordt aangeraden rechtstreeks bij de pluginleverancier of in de WordPress-pluginrepository te controleren op de meest recente officiële release-informatie, voordat wordt aangenomen dat er een gepatchte versie bestaat.

Aanbevolen actie

Beheerders die The Events Calendar gebruiken, wordt geadviseerd hun geïnstalleerde versie te controleren, de officiële pluginpagina of leverancierskanalen te raadplegen voor een bijgewerkte release die CVE-2026-95606 verhelpt, en een beschikbare update zo snel mogelijk toe te passen zodra deze bevestigd is. Zolang er geen bevestigde fix is, kan aanvullende monitoring of tijdelijke mitigatie overwogen worden, zoals het beperken van toegang tot de invoerverwerkende endpoints van de plugin waar mogelijk.