CVE-2026-78159: Kritisk RCE-fejl i The Events Calendar
Kritisk sårbarhed i WordPress-pluginnet The Events Calendar giver angribere kodeudførelse på serveren. Opdatér plugin’et og tjek kommentarindstillinger.
Hvad er det?
CVE-2026-78159 er en sårbarhed i WordPress-pluginnet The Events Calendar, som mange virksomheder bruger til at vise arrangementer og åbningstider på deres hjemmeside. Fejlen findes i funktionen parse_array, der behandler formatering af widgets. Fejltypen kaldes kode-indsprøjtning (CWE-94), hvilket betyder, at en angriber kan få serveren til at udføre kode, den ikke burde udføre. Problemet opstår, fordi plugin’et ikke kontrollerer et såkaldt ‘classes’-felt godt nok, hvilket gør det muligt at omgå en sikkerhedstjek og nå frem til en funktion, der kan kalde vilkårlig kode. Sårbarheden udløses, når WordPress behandler indholdet af en begivenhedsside, herunder kommentarfeltet.
Hvem rammer det?
Alle WordPress-sider, der kører The Events Calendar i version 6.17.3 eller ældre, er berørt. Det gælder både gratis og eventuelt tilkøbte udgaver af plugin’et. Sårbarheden kan kun udnyttes, hvis siden har kommentarer aktiveret på begivenhedsindlæg (tribe_events-posts), og en angriber har fået en kommentar med et særligt udformet indhold godkendt eller offentliggjort på siden. Danske virksomheder og kommuner, der bruger plugin’et til begivenhedskalendere, kursusoversigter eller lignende, bør se på dette.
Hvad kan ske?
Lykkes angrebet, kan angriberen udføre kode på webserveren uden at være logget ind. I praksis betyder det, at angriberen kan overtage hjemmesiden fuldstændigt, tilgå database med kundedata, indsætte skadelig kode til besøgende eller bruge serveren som springbræt til resten af netværket. For en dansk virksomhed kan det betyde nedbrud af hjemmesiden, tab af data og i værste fald en anmeldelsespligtig databrist.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet. Til gengæld kræver det, at kommentarer er aktiveret på begivenhedsindlæg, og at en ondsindet kommentar er blevet offentliggjort på siden, hvilket i sig selv kan ske automatisk via spam-kommentarer. Der er ikke rapporteret aktiv udnyttelse i naturen på offentliggørelsesdatoen, men den tekniske beskrivelse af angrebsforløbet er offentlig og detaljeret nok til, at en angriber kan bygge et angreb ud fra den.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse risikoen, mens I opdaterer:
- Opdatér The Events Calendar til en version nyere end 6.17.3 med det samme via WordPress-admin eller jeres udviklere.
- Kan opdatering ikke ske straks, så deaktivér kommentarer på alle tribe_events-indlæg (begivenhedssider) som midlertidig afhjælpning.
- Gennemgå eksisterende kommentarer på begivenhedssider for usædvanligt indhold, især noget der ligner widget- eller blokkode, og fjern det.
- Tjek server- og webloks for uventede filændringer eller nye administratorbrugere, som tegn på, at sårbarheden allerede er udnyttet.
- Tag en frisk backup af hjemmesiden, når opdateringen er gennemført, så I har et rent udgangspunkt.
- Har I ikke ressourcer til at vurdere, om siden allerede er kompromitteret, bør I få en sikkerhedsleverandør til at gennemgå serveren, før I går videre.
Opdatér plugin inden 24 timer
Vi anbefaler, at I opdaterer The Events Calendar til nyeste version så hurtigt som muligt, da sårbarheden kan udnyttes uden login og med en detaljeret angrebsbeskrivelse allerede offentliggjort. Har I kommentarer aktiveret på begivenhedssider, bør I deaktivere dem, indtil opdateringen er på plads. Det er kun forsvarligt at vente, hvis jeres side ikke bruger tribe_events-indlæg med kommentarer aktiveret, men vi vil stadig opdatere plugin’et ved først givne mulighed.
Tidslinje
Konkrete eksempler
Ondsindet kommentar på en dansk virksomheds arrangementsside
En dansk virksomhed bruger The Events Calendar til at vise sine kommende webinarer og har kommentarer aktiveret, så deltagere kan stille spørgsmål. En angriber sender en kommentar med et specialkonstrueret widget-indhold, der bliver godkendt automatisk eller af en medarbejder uden nærmere gennemgang. Næste gang siden med begivenheden vises, behandler WordPress kommentaren og udfører angriberens kode på serveren, hvorved angriberen får adgang til hjemmesidens filer og database.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger The Events Calendar i version 6.17.3 eller ældre på jeres WordPress-side. Tjek plugin-versionen under Plugins i WordPress-admin.
Hvordan finder vi ud af, om vores side allerede er udnyttet?
Se efter uventede filer på serveren, nye administratorbrugere I ikke kender, og usædvanlige kommentarer på begivenhedssider. Er I i tvivl, bør en sikkerhedsleverandør gennemgå serveren.
Kan vi vente til weekenden med at opdatere?
Kun hvis kommentarer er deaktiveret på jeres begivenhedssider. Er kommentarer aktiveret, bør opdateringen ske hurtigst muligt, da angrebet ikke kræver login.
Skal vi anmelde noget til myndighederne?
Kun hvis I konstaterer, at sårbarheden er blevet udnyttet og persondata er blevet kompromitteret. I så fald kan det være anmeldelsespligtigt efter databeskyttelsesreglerne, og vi anbefaler at søge juridisk rådgivning hurtigt.
Rammer det kun The Events Calendar, eller også andre plugins?
Sårbarheden er specifik for The Events Calendar-plugin. Andre plugins med lignende widget- eller blokfunktioner kan have separate sårbarheder, men er ikke omfattet af denne CVE.
Skal vi deaktivere hele plugin'et, indtil vi kan opdatere?
Det er en mulighed, hvis I ikke kan opdatere med det samme og ikke kan leve uden begivenhedskalenderen. Alternativt kan I deaktivere kommentarer på begivenhedssider som en mindre indgribende løsning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The The Events Calendar plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 6.17.3 via the parse_array function. This is due to insufficient validation of the widget ‘classes’ map, allowing a plain-array payload to bypass the is_safe_widget_instance() object check and reach the callable-invocation sink in Element_Classes::parse_array(). This makes it possible for unauthenticated attackers to execute code on the server. Exploitation requires that the targeted site has comments enabled on tribe_events posts and that at least one comment containing a crafted wp:legacy-widget block has been submitted, as the attack chain is triggered when do_blocks() processes the single-event HTML including the comment area.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.