Leuffen.deBlog

Security · WordPress-Plugin The Events Calendar

The Events Calendar: Kommentarvorschau öffnet Weg zur Codeausführung

kritisch

Ein Angreifer kann unter einer sichtbaren Veranstaltung einen präparierten Kommentar absenden und dessen private Vorschau öffnen. Bis Version 6.17.4 verarbeitet das Plugin den Kommentar dabei so, dass Code auf dem Server ausgeführt werden kann; Version 6.17.4.1 schließt die Lücke.

CVE
CVE-2026-78006
Betroffen
The Events Calendar bis einschließlich 6.17.4; ausnutzbar, wenn Kommentare für Veranstaltungsseiten (`tribe_events`) aktiviert und die betreffende Veranstaltungsseite sichtbar sind
Behoben
The Events Calendar 6.17.4.1 oder neuer

The Events Calendar ist ein WordPress-Plugin, also eine Erweiterung des Web-Redaktionssystems WordPress, die Veranstaltungen als eigene Seiten verwaltet. WordPress führt diesen Inhaltstyp intern als tribe_events. Die Kennung CVE-2026-78006 bezeichnet einen öffentlich katalogisierten Sicherheitsfehler in Installationen bis einschließlich Version 6.17.4, auf denen Besucher solche Veranstaltungsseiten kommentieren können. Ein präparierter Kommentar kann dann eine Remote Code Execution auslösen – also die Ausführung fremden Codes auf dem Webserver über eine Netzwerkanfrage.

Die Schwachstelle ist mit CVSS 3.1: 9,8 bewertet. CVSS ist ein standardisiertes Schema für die technische Schwere einer Sicherheitslücke. Der vollständige Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Er beschreibt einen Angriff über das Netz mit geringer Komplexität, ohne vorherige Berechtigung oder notwendige Handlung eines anderen Nutzers; Sicherheitsbereich unverändert sowie hohe mögliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Das ist kritisch, aber nicht voraussetzungslos: Kommentare müssen für sichtbare Veranstaltungsseiten aktiviert sein.

So sieht der Angriff aus

Ein normaler Besucher öffnet eine öffentliche Veranstaltungsseite, liest Termin und Beschreibung und kann darunter einen Kommentar absenden. Aus seiner Sicht passiert nichts Besonderes: Das Formular sieht wie ein gewöhnliches WordPress-Kommentarfeld aus. Wartet der Beitrag auf Freigabe, erscheint er nicht einfach öffentlich für alle.

Ein Angreifer sendet einen Kommentar mit einem präparierten Legacy-Widget-Block. Ein Legacy-Widget-Block ist ein WordPress-Inhaltsbaustein, der ältere Erweiterungsbausteine innerhalb des Blockeditors einbindet. WordPress erzeugt für den noch ausstehenden Kommentar einen Link mit einem Moderations-Hash. Dieser Hash ist ein besonderer Wert in der URL, über den der Absender seinen eigenen, noch nicht allgemein freigegebenen Kommentar sehen kann.

Der Angreifer öffnet anschließend diese Moderations-Hash-URL für die private Vorschau. Beim Laden verarbeitet das V2-Ereignistemplate – die neuere Darstellungsvorlage für einzelne Veranstaltungen – auch den Kommentar als WordPress-Blockinhalt. Erst dadurch erreicht die präparierte Struktur den verwundbaren Pluginpfad und kann Codeausführung auslösen.

Für einen Administrator kann der erste sichtbare Hinweis deshalb unspektakulär sein: ein ausstehender Kommentar unter einer Veranstaltung, möglicherweise gefolgt von ungewöhnlichem Serververhalten. Ein verdächtiger Kommentar oder ein Zugriff auf eine Vorschau-URL ist ein Prüfhinweis, aber für sich allein kein Beweis einer erfolgreichen Codeausführung. Umgekehrt ist eine leere Moderationsliste keine belastbare Entwarnung.

Warum Kommentarfreigabe hier nicht genügt

Kommentarfreigabe regelt, ob ein Beitrag öffentlich erscheint. Die verwundbare Verarbeitung setzte früher an: Schon die private Vorschau für den Absender ließ den Server den enthaltenen Block rendern. Rendern heißt, gespeicherte Struktur in die auszuliefernde HTML-Seite umzuwandeln.

Damit lag die Sicherheitsgrenze an der falschen Stelle. Der Kommentar war noch nicht freigeschaltet, wurde für seine Vorschau aber bereits wie darstellbarer Seiteninhalt behandelt. Wer Kommentare lediglich moderiert, ohne das Plugin zu aktualisieren, schließt diesen Weg daher nicht zuverlässig.

Betroffene und korrigierte Versionen

Betroffen ist The Events Calendar bis einschließlich 6.17.4. Die Korrektur steht ab 6.17.4.1 bereit.

CVE-2026-78159 ist eng mit CVE-2026-78006 verbunden. Die ältere Lücke war zunächst in Version 6.17.3.1 korrigiert worden. Der später dokumentierte Weg umging diese Korrektur und betraf auch die nachfolgenden Versionen bis 6.17.4. Für den Betrieb zählt deshalb nicht die erste Reparatur, sondern mindestens 6.17.4.1.

Technisch war dies nicht bloß derselbe Fehler mit neuer Nummer. Die Schutzprüfung für kopierte Widgets ließ sich während PHPs Vorbereitung gespeicherter Daten umgehen. Dabei konnten magische Methoden ausgelöst werden – spezielle PHP-Methoden, die die Laufzeit bei bestimmten Objektvorgängen automatisch aufruft. Der Pluginpfad erzeugte zugleich den erwarteten wp_hash-Integritätswert, also einen Prüfwert für die gespeicherten Widgetdaten, bevor er diese Daten deserialisierte. Deserialisierung bedeutet hier, gespeicherte Daten wieder in PHP-Objekte umzuwandeln. Dadurch konnten nicht vertrauenswürdige Objektdaten den verwundbaren Verarbeitungspfad erreichen.

Der Anbieter beschreibt The Events Calendar als Plugin mit mehr als 800.000 Installationen. Diese Reichweite sagt nichts darüber aus, wie viele Websites Kommentare für Veranstaltungen aktiviert haben oder verwundbar erreichbar waren. Sie erklärt aber, warum eine saubere Versionsprüfung sinnvoller ist als eine Schätzung nach Bauchgefühl.

Was jetzt sinnvoll ist

Betreiber sollten The Events Calendar auf 6.17.4.1 oder eine neuere Version aktualisieren und anschließend prüfen, ob Kommentare beim Inhaltstyp tribe_events überhaupt benötigt werden. Wer sie nicht benötigt, kann den unnötigen Eingabepfad schließen; das ersetzt das Update nicht.

Zusätzlich sollten Administratoren die Kommentarwarteschlange und Zugriffe auf Kommentar-Vorschau-URLs aus dem betroffenen Zeitraum untersuchen. Auffällige Funde erfordern eine weitergehende Prüfung der WordPress-Installation und des Servers. Der Artikel leitet aus den vorliegenden Quellen keine bestimmte forensische Signatur ab.

Die Lücke wurde am 12. September 2026 um 07:39 UTC veröffentlicht. Eine aktive Ausnutzung ist in den bis zum 13. September 2026 geprüften Quellen nicht bestätigt. Der zuletzt verfügbare KEV-Katalogstand der US-Cybersicherheitsbehörde CISA vom 11. September 2026 lag noch vor der Veröffentlichung dieses CVE; KEV steht für nachweislich ausgenutzte Schwachstellen. Aus seiner Nichtlistung lässt sich für diesen neuen Fall daher keine zusätzliche Entwarnung ableiten.

Quellen

Quellenstand: 13. September 2026.

Originalmeldung öffnen →