Vier toegangscontroleproblemen ontdekt in WordPress-plugin The Events Calendar

Wat is er gebeurd

Er zijn vier verschillende kwetsbaarheden gemeld in de WordPress-plugin The Events Calendar, allemaal gerelateerd aan zwakke toegangscontrole in de REST API: - CVE-2026-84741: De plugin controleert niet de publicatiestatus van gekoppelde records voordat de opgeslagen gegevens worden opgenomen in een publiek toegankelijke REST API-respons. Hierdoor kunnen niet-geauthenticeerde gebruikers de inhoud lezen van records die nooit gepubliceerd zijn. - CVE-2026-84742: De plugin controleert niet of een gebruiker de benodigde rechten heeft om content te publiceren voordat deze via de REST API wordt aangemaakt of bijgewerkt. Gebruikers met een rol die normaal niet mag publiceren, zoals Contributor, kunnen hierdoor content direct publiceren en de redactionele controle omzeilen. - CVE-2026-84743: De plugin voert geen controle per object uit op de benodigde rechten voor een groep van zijn REST-schrijfroutes. Hierdoor kunnen gebruikers met een lage rol zoals Contributor records van andere gebruikers, waaronder beheerders, wijzigen, depubliceren, naar de prullenbak verplaatsen en overnemen. - CVE-2026-97285: In de beschikbare gegevens omschreven als "Contributor Broken Access Control". Het advies bevat geen verdere technische details naast deze classificatie.

Technische oorzaak

Drie van de vier problemen (CVE-2026-84741, CVE-2026-84742, CVE-2026-84743) komen voort uit ontbrekende of onvolledige controles op rechten en publicatiestatus in de REST API-eindpunten van de plugin, geclassificeerd onder CWE-200 (blootstelling van informatie) en CWE-863 (onjuiste autorisatie). CVE-2026-97285 valt onder CWE-862 (ontbrekende autorisatie), maar het feitenpakket bevat geen verdere technische details over het specifieke mechanisme naast de titelclassificatie "Contributor Broken Access Control".

Waarom dit belangrijk is

Deze kwetsbaarheden variëren in impact van ongeautoriseerde informatieblootstelling tot privilege-escalatie binnen het rollensysteem van WordPress. CVE-2026-84741 is het breedst uitbuitbaar, omdat er geen authenticatie vereist is en het ongepubliceerde content zoals concept-evenementen of interne records kan blootstellen aan elke bezoeker. De overige drie problemen vereisen een geauthenticeerd account met Contributor-rechten (of vergelijkbaar lage rechten), wat de blootstelling beperkt tot sites die dergelijke gebruikersregistratie toestaan of waar accounts met lage rechten al gecompromitteerd zijn, maar vormen nog steeds een betekenisvolle doorbraak van de redactionele en eigendomscontroles van WordPress.

Wie wordt getroffen

Sites die The Events Calendar gebruiken binnen de getroffen versiereeksen zijn kwetsbaar. CVE-2026-84741 treft versies vanaf 4.5 tot (maar niet inclusief) 6.17.5. CVE-2026-84742 treft versies vanaf 6.15.0 tot (maar niet inclusief) 6.17.5. CVE-2026-84743 treft versies vanaf 6.15.16.1 tot (maar niet inclusief) 6.17.5. CVE-2026-97285 treft versies tot (maar niet inclusief) 6.17.5.1; voor deze CVE is in de beschikbare gegevens geen beginversie opgegeven.

Getroffen versies

- CVE-2026-84741: The Events Calendar >= 4.5, < 6.17.5 - CVE-2026-84742: The Events Calendar >= 6.15.0, < 6.17.5 - CVE-2026-84743: The Events Calendar >= 6.15.16.1, < 6.17.5 - CVE-2026-97285: The Events Calendar < 6.17.5.1

Fixes en mitigatie

In het beschikbare feitenpakket staat fix_available voor alle vier de CVE's op false. De versiereeksen geven aan dat de versies 6.17.5 en 6.17.5.1 worden genoemd als grens waarbij de betreffende problemen niet langer gelden, maar de gegevens bevestigen niet dat er daadwerkelijk een door de leverancier uitgebrachte patch beschikbaar is die elk CVE oplost. Sitebeheerders moeten dit beschouwen als nog onbevestigd en de officiële changelog van de leverancier rechtstreeks raadplegen in plaats van uitsluitend op deze briefing te vertrouwen voor patchbevestiging.

Aanbevolen actie

Beheerders die The Events Calendar gebruiken, dienen hun geïnstalleerde versie te vergelijken met de hierboven genoemde reeksen. Omdat de beschikbaarheid van een fix niet bevestigd is in de bekeken gegevens, wordt aanbevolen de officiële WordPress.org-pagina en changelog van de plugin rechtstreeks te raadplegen voor updategegevens, het aanmaken van Contributor-accounts te beperken waar dit niet strikt noodzakelijk is, en recent gewijzigde of gepubliceerde content te controleren op onverwachte aanpassingen, met name op sites die open gebruikersregistratie toestaan.