Diese Seite wurde noch nicht in Ihre Sprache übersetzt. Inhalte werden auf Englisch angezeigt, während wir daran arbeiten.
💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.
CVE-2026-7525: Authorization Bypass in My Calendar Plugin
Plattform
wordpress
Komponente
my-calendar
Behoben in
3.7.10
CVE-2026-7525 describes an authorization bypass vulnerability affecting the My Calendar – Accessible Event Manager plugin for WordPress. An authenticated attacker with custom-level access or higher can manipulate the POST body to publish events or alter their status (e.g., cancelled, private) without proper authorization checks. This vulnerability impacts versions 0.0.0 through 3.7.9 and has been resolved in version 3.7.10.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Auswirkungen und Angriffsszenarienwird übersetzt…
This vulnerability allows an attacker to bypass the intended moderation and approval workflow within the My Calendar plugin. An attacker with custom-level access can effectively impersonate a higher-privileged user, publishing events that would normally require administrator approval or changing event statuses to reflect cancellations or private settings. This could lead to unauthorized event postings, data manipulation, and potential disruption of scheduled events. The impact is amplified in environments where event scheduling is critical, such as educational institutions, event management platforms, or internal communication systems. Successful exploitation could also be used to inject malicious content into event descriptions or metadata, potentially leading to further attacks.
Ausnutzungskontextwird übersetzt…
CVE-2026-7525 was published on 2026-05-14. Severity is rated as MEDIUM (CVSS 4.3). No public exploits or active campaigns have been reported at the time of writing. The vulnerability is not currently listed on KEV or EPSS. Monitor security advisories and threat intelligence feeds for any indications of exploitation.
Bedrohungsanalyse
Exploit-Status
CISA SSVC
CVSS-Vektor
Was bedeuten diese Metriken?
- Attack Vector
- Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
- Attack Complexity
- Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
- Privileges Required
- Niedrig — jedes gültige Benutzerkonto ist ausreichend.
- User Interaction
- Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
- Scope
- Unverändert — Auswirkung auf das anfällige Komponente beschränkt.
- Confidentiality
- Keine — kein Vertraulichkeitseinfluss.
- Integrity
- Niedrig — Angreifer kann einige Daten mit begrenztem Umfang ändern.
- Availability
- Keine — kein Verfügbarkeitseinfluss.
Betroffene Software
Schwachstellen-Klassifikation (CWE)
Zeitleiste
- Reserviert
- Veröffentlicht
- Geändert
Mitigation und Workaroundswird übersetzt…
The primary mitigation for CVE-2026-7525 is to immediately upgrade the My Calendar plugin to version 3.7.10 or later. If upgrading is not feasible due to compatibility issues or breaking changes, consider temporarily restricting user roles with custom-level access from modifying event statuses. While not a complete solution, implementing a Web Application Firewall (WAF) with rules to filter suspicious POST requests targeting the plugin's event management endpoints can provide an additional layer of defense. Regularly review user roles and permissions to ensure they align with the principle of least privilege.
So beheben
Aktualisieren Sie auf Version 3.7.10 oder eine neuere gepatchte Version
Häufig gestellte Fragenwird übersetzt…
What is CVE-2026-7525 — Authorization Bypass in My Calendar plugin?
CVE-2026-7525 is a medium severity authorization bypass vulnerability in the My Calendar plugin for WordPress, allowing attackers with custom-level access to bypass moderation and publish events without proper authorization.
Am I affected by CVE-2026-7525 in My Calendar plugin?
You are affected if your WordPress site uses the My Calendar plugin in versions 0.0.0 through 3.7.9. Upgrade to 3.7.10 or later to resolve the vulnerability.
How do I fix CVE-2026-7525 in My Calendar plugin?
Upgrade the My Calendar plugin to version 3.7.10 or later. If upgrading is not immediately possible, restrict custom-level users' ability to modify event statuses.
Is CVE-2026-7525 being actively exploited?
As of the current assessment, there are no reports of active exploitation or public exploits for CVE-2026-7525, but continuous monitoring is recommended.
Where can I find the official My Calendar advisory for CVE-2026-7525?
Refer to the official My Calendar plugin website and WordPress.org plugin page for updates and security advisories related to CVE-2026-7525.
Ist dein Projekt betroffen?
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Scannen Sie jetzt Ihr WordPress-Projekt – kein Konto
Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.
Abhängigkeitsdatei hier ablegen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...