Die erste Schwachstelle wird unter CVE-2026-78159 geführt und erhielt einen CVSS-Wert von 9,8. Es handelt sich um eine Code-Injection ohne Authentifizierung, die auf unzureichende Validierung zurückgeht. Unter bestimmten Bedingungen kann ein Angreifer laut Defiant eine einfache Array-Nutzlast einschleusen, die vorhandene Prüfungen umgeht und bei der Verarbeitung des HTML einzelner Veranstaltungen ausgeführt wird – einschließlich des Kommentarbereichs.
StellarWP schloss diese Lücke am 25. August mit Version 6.17.3.1 des Plugins.
Die zweite Schwachstelle, CVE-2026-78006, ist ebenfalls mit 9,8 bewertet und wird als PHP-Object-Injection ohne Authentifizierung beschrieben. Ausnutzbar ist sie, wenn Kommentare zu Veranstaltungen aktiviert und sichtbar sind. Ursache sind unzureichende Schutzmaßnahmen in einer Plugin-Funktion, die ein Kommentierender ohne Anmeldung und ohne Freigabe umgehen kann: Der eingeschleuste Code erreicht die verwundbare Funktion bereits, bevor die Moderation greift.
Diesen Fehler behob StellarWP mit The Events Calendar 6.17.4.1, veröffentlicht am 10. September.
Nach Darstellung von Defiant handelt es sich um zwei voneinander unabhängige Angriffsketten. Beide führen jedoch zum selben Ergebnis: Remote Code Execution und damit die vollständige Kompromittierung der WordPress-Installation.
Zur Verbreitung liefern die WordPress-Daten einen Anhaltspunkt: Rund 240.000 Websites nutzen Plugin-Versionen vor 6.17 und sind somit für beide Schwachstellen anfällig. Zwischen dem 10. und 14. September wurde das Plugin etwas mehr als 300.000 Mal heruntergeladen. Bei über 600.000 aktiven Installationen legt das nahe, dass etwa die Hälfte der Installationen weiterhin für CVE-2026-78006 anfällig sein dürfte.
Eine genaue Zahl verwundbarer Seiten lässt sich nicht bestimmen, da die Ausnutzung beider kritischer Fehler voraussetzt, dass die Kommentarfunktion im Plugin aktiviert ist.