Wordfence выявила две критические уязвимости в The Events Calendar

Wordfence Argus обнаружила две критические уязвимости в плагине The Events Calendar для WordPress, которые позволяют злоумышленнику получить полный контроль над сайтом без авторизации. Уязвимости затрагивают более 600 тысяч сайтов, использующих этот плагин.

Wordfence Argus выявила две независимые цепочки уязвимостей в The Events Calendar — плагине для отображения событий на WordPress. Обе позволяют выполнить произвольный код на сервере без аутентификации. Первая использует уязвимость в десериализации объектов, вторая — обход проверки через вызов произвольной функции. Обе цепочки активируются через комментарии на страницах событий, если включена их публикация и отображение.

На мой взгляд, ключевая проблема — не в конкретной уязвимости, а в архитектуре: плагин обрабатывает комментарии как блоки Gutenberg, что расширяет поверхность атаки. WordPress по умолчанию не обрабатывает блоки в комментариях, но этот плагин делает это, не проверяя безопасность. Это не ошибка одного участка кода — это системная уязвимость дизайна.

Учитывая, что оба эксплойта активируются через просмотр предварительного просмотра комментария, даже без модерации, и что уязвимые версии уже существуют, владельцы сайтов с этим плагином должны проверить его версию. Если у вас установлен The Events Calendar до 6.17.4.1 — обновление срочно. Мы в Cetera такие плагины проверяем в аудите, особенно если они связаны с выводом контента на публичных страницах.

Это часть нашей работы — Информационная безопасность. Поддержка сайтов всех типов для обеспечения их информационной безопасности. Информационная безопасность