Atualize esta semana
My Calendar · agenda de eventos
Vulnerável: até a 3.8.7Seguro: versões acima da 3.8.7
Um visitante sem login consegue injetar comandos na página e ganhar permissões que não deveria ter no site.
Você mesmo
- Atualize o My Calendar para a versão mais recente (acima da 3.8.7) ou para a correção da série que você usa.
- Se não puder atualizar agora, desative o plugin.
Seu dev ou hospedagem
- Revisar em Usuários se surgiram administradores desconhecidos.
- Rodar varredura com Wordfence, Sucuri ou similar.
Detalhes técnicos: O plugin My Calendar – Accessible Event Manager, em todas as versões até a 3.8.7, reflete o parâmetro público “mcs” (GET) no conteúdo da página sem sanitização antes do processamento de shortcodes pelo WordPress, o que permite a um visitante sem login injetar shortcodes e escalar privilégios (CVE-2026-104798, CVSS 9.8, atribuída pela Wordfence). A falha também afeta séries antigas do plugin (até 3.4.24, 3.5.21, 3.6.17 e 3.7.17). Por não exigir autenticação, é o tipo de falha que costuma ser explorada rapidamente após a divulgação.