My Calendar: Unauthentifizierte Rechteerweiterung über Shortcode-Injection

Zusammenfassung

Das WordPress-Plugin My Calendar bis einschliesslich 3.8.7 (je nach Zweig) erlaubt nicht authentifizierten Angreifern, über den öffentlichen GET-Parameter mcs einen verschachtelten Shortcode einzuschleusen. Dadurch können beliebige geladene PHP-Funktionen aufgerufen werden, womit die Zugangsdaten des ersten Administrator-Kontos (Benutzer-ID 1) überschrieben und voller wp-admin-Zugriff erlangt werden kann. Es ist keine Anmeldung nötig; der verwundbare Pfad ist über die automatisch erstellte Seite /my-calendar/ erreichbar, die nach der Aktivierung standardmässig öffentlich ist.

Betroffen

• Alle Versionen bis einschliesslich 3.4.24
• 3.5 bis 3.5.21
• 3.6 bis 3.6.17
• 3.7 bis 3.7.17
• 3.8 bis 3.8.7

Behoben in

• 3.8.8 (gemäss Changelog auf WordPress.org; noch nicht gegen die Herstellermitteilung oder den Wordfence-Eintrag bestätigt)
• Für die Zweige 3.4, 3.5, 3.6 und 3.7 wurde keine korrigierte Version gefunden. Diese Zweige gelten als ungepatcht.

Umgehung

Unbekannt. Der Hersteller hat keine Workaround-Massnahme veröffentlicht. Die Deaktivierung des Plugins beseitigt die Exposition, gilt aber nicht als Massnahme des Herstellers.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept gefunden
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden

Unsere Empfehlung

• Alle WordPress-Websites mit My Calendar finden, auch ältere Zweige.
• Auf die neueste Version von der Website des Herstellers aktualisieren, nicht nur auf 3.8.8. CVE-2026-119714 betrifft 3.8.8 vor 3.8.11.
• Kann eine Website nicht sofort aktualisiert werden, das Plugin deaktivieren.
• Benutzer-ID 1 und alle Administratorkonten auf unerwartete Änderungen von E-Mail-Adresse, Passwort oder Rolle prüfen und die letzten Administrator-Anmeldungen überprüfen.
• Wordfence-Advisory und NVD erneut prüfen, da die NVD-Analyse noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence vulnerability record www.wordfence.com
• WordPress.org plugin page (My Calendar) wordpress.org
• WordPress.org changeset plugins.trac.wordpress.org
• Vulners CVE record vulners.com
• Strix CVE record www.strix.ai
• VulDB entry vuldb.com
• Follow-up issue CVE-2026-119714 (Strix) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:45.