Esta página aún no ha sido traducida a tu idioma. Mostrando contenido en inglés mientras trabajamos en ello.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

MEDIUMCVE-2026-7525CVSS 4.3

CVE-2026-7525: Authorization Bypass in My Calendar Plugin

Plataforma

wordpress

Componente

my-calendar

Corregido en

3.7.10

Traduciendo a tu idioma…

CVE-2026-7525 describes an authorization bypass vulnerability affecting the My Calendar – Accessible Event Manager plugin for WordPress. An authenticated attacker with custom-level access or higher can manipulate the POST body to publish events or alter their status (e.g., cancelled, private) without proper authorization checks. This vulnerability impacts versions 0.0.0 through 3.7.9 and has been resolved in version 3.7.10.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataquetraduciendo…

This vulnerability allows an attacker to bypass the intended moderation and approval workflow within the My Calendar plugin. An attacker with custom-level access can effectively impersonate a higher-privileged user, publishing events that would normally require administrator approval or changing event statuses to reflect cancellations or private settings. This could lead to unauthorized event postings, data manipulation, and potential disruption of scheduled events. The impact is amplified in environments where event scheduling is critical, such as educational institutions, event management platforms, or internal communication systems. Successful exploitation could also be used to inject malicious content into event descriptions or metadata, potentially leading to further attacks.

Contexto de Explotacióntraduciendo…

CVE-2026-7525 was published on 2026-05-14. Severity is rated as MEDIUM (CVSS 4.3). No public exploits or active campaigns have been reported at the time of writing. The vulnerability is not currently listed on KEV or EPSS. Monitor security advisories and threat intelligence feeds for any indications of exploitation.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta

CISA SSVC

Explotaciónnone
Automatizableno
Impacto Técnicopartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N4.3MEDIUMAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredLowNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityNoneRiesgo de exposición de datos sensiblesIntegrityLowRiesgo de modificación no autorizada de datosAvailabilityNoneRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Bajo — cualquier cuenta de usuario válida es suficiente.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Ninguno — sin impacto en confidencialidad.
Integrity
Bajo — el atacante puede modificar algunos datos con alcance limitado.
Availability
Ninguno — sin impacto en disponibilidad.

Software Afectado

Componentemy-calendar
Proveedorwordfence
Versión máxima3.7.9
Corregido en3.7.10

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada
  3. Modificada

Mitigación y Workaroundstraduciendo…

The primary mitigation for CVE-2026-7525 is to immediately upgrade the My Calendar plugin to version 3.7.10 or later. If upgrading is not feasible due to compatibility issues or breaking changes, consider temporarily restricting user roles with custom-level access from modifying event statuses. While not a complete solution, implementing a Web Application Firewall (WAF) with rules to filter suspicious POST requests targeting the plugin's event management endpoints can provide an additional layer of defense. Regularly review user roles and permissions to ensure they align with the principle of least privilege.

Cómo corregirlo

Actualizar a la versión 3.7.10, o una versión parcheada más reciente

Preguntas frecuentestraduciendo…

What is CVE-2026-7525 — Authorization Bypass in My Calendar plugin?

CVE-2026-7525 is a medium severity authorization bypass vulnerability in the My Calendar plugin for WordPress, allowing attackers with custom-level access to bypass moderation and publish events without proper authorization.

Am I affected by CVE-2026-7525 in My Calendar plugin?

You are affected if your WordPress site uses the My Calendar plugin in versions 0.0.0 through 3.7.9. Upgrade to 3.7.10 or later to resolve the vulnerability.

How do I fix CVE-2026-7525 in My Calendar plugin?

Upgrade the My Calendar plugin to version 3.7.10 or later. If upgrading is not immediately possible, restrict custom-level users' ability to modify event statuses.

Is CVE-2026-7525 being actively exploited?

As of the current assessment, there are no reports of active exploitation or public exploits for CVE-2026-7525, but continuous monitoring is recommended.

Where can I find the official My Calendar advisory for CVE-2026-7525?

Refer to the official My Calendar plugin website and WordPress.org plugin page for updates and security advisories related to CVE-2026-7525.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Escanea tu proyecto WordPress ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...