CVE-2026-104798: Escalada de privilegios en My Calendar

Qué es la vulnerabilidad

La CVE-2026-104798 es una vulnerabilidad de escalada de privilegios (CWE-269: Improper Privilege Management) en el plugin My Calendar – Accessible Event Manager, desarrollado por joedolson. El fallo afecta a todas las versiones del plugin hasta la 3.8.7 inclusive.

El origen del problema se encuentra en el manejo inseguro del parámetro mcs de tipo GET. Este parámetro es reflejado en el contenido de las entradas sin ser saneado antes de que WordPress ejecute el filtro do_shortcode. Esto permite que un atacante no autenticado inyecte un shortcode anidado del tipo [my_calendar above=...].

La cadena de explotación continúa en la función mc_generate_calendar_nav(), que procesa el atributo above dividiéndolo por comas y despachando cada elemento mediante call_user_func(). Esta llamada se realiza sin autenticación, sin autorización y sin una lista blanca de funciones permitidas.

Esta falta de validación permite al atacante invocar funciones PHP arbitrarias que ya estén cargadas en memoria. En la cadena de explotación descrita, el array de parámetros del shortcode se pasa a la función edit_user(). PHP coacciona este array al entero 1, que corresponde al $user_id del usuario administrador inicial. De esta forma, el atacante puede sobrescribir las credenciales de la cuenta de administrador (ID 1) y obtener acceso completo a wp-admin.

La explotación es trivialmente alcanzable a través de la página /my-calendar/, que el plugin genera automáticamente y que es de acceso público por defecto tras la activación del plugin.

La vulnerabilidad ha sido clasificada con una puntuación CVSS de 9.8 (Crítica), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que el ataque puede realizarse de forma remota, sin necesidad de autenticación ni interacción del usuario, y que compromete la confidencialidad, integridad y disponibilidad del sistema.

El plugin afectado es ampliamente utilizado en sitios WordPress que gestionan calendarios de eventos accesibles, lo que incrementa la superficie de exposición. Dado que la página pública /my-calendar/ se genera automáticamente, cualquier sitio con el plugin activo y sin actualizar es potencialmente vulnerable.

No se ha publicado información sobre la existencia de exploits públicos en las fuentes consultadas, pero la naturaleza de la vulnerabilidad y su facilidad de explotación hacen que el riesgo de compromiso sea muy alto. Se recomienda encarecidamente a los administradores de sitios WordPress que utilicen este plugin que apliquen las medidas correctivas descritas en la sección de mitigación de este artículo.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-104798 afecta al plugin My Calendar – Accessible Event Manager de WordPress, desarrollado por joedolson. Según la información publicada por CVE.org, todas las versiones hasta la 3.8.7 inclusive se consideran afectadas. El desglose por rama de versiones es el siguiente:

La fuente NVD no detalla una lista de versiones afectadas, por lo que la tabla anterior se basa exclusivamente en los datos publicados por CVE.org. Se recomienda encarecidamente actualizar a una versión superior a la 3.8.7 en cuanto esté disponible, o aplicar la mitigación publicada por el fabricante.

Impacto y riesgo

Esta vulnerabilidad ha sido clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). El vector refleja un impacto total en la confidencialidad, integridad y disponibilidad del sistema, sin requerir autenticación ni interacción del usuario.

El riesgo principal es la escalada de privilegios (CWE-269). Un atacante no autenticado puede explotar la cadena de llamadas descrita para invocar la función edit_user() y sobrescribir las credenciales del usuario administrador inicial (ID 1). Esto otorga al atacante acceso completo al panel de administración de WordPress (wp-admin), comprometiendo por completo la instalación.

La explotación se facilita por la existencia de la página /my-calendar/, que el plugin genera automáticamente y que es accesible públicamente por defecto tras su activación. Esto elimina barreras de entrada y convierte la vulnerabilidad en un objetivo trivial para ataques automatizados a gran escala.

Las implicaciones prácticas incluyen la toma de control total del sitio, la inyección de contenido malicioso, el robo de datos de usuarios y visitantes, y la posible utilización del servidor como plataforma para ataques posteriores.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa en entornos reales para esta vulnerabilidad. No se mencionan campañas, exploits públicos o pruebas de concepto disponibles en el contexto analizado.

Sin embargo, la descripción técnica detalla una cadena de explotación completa y viable, lo que indica que la vulnerabilidad es técnicamente explotable por un atacante con conocimientos suficientes. La ausencia de datos sobre explotación activa no debe interpretarse como una reducción del riesgo, especialmente considerando la puntuación CVSS de 9.8 y la facilidad de acceso al vector de ataque.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc se encuentra vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad en las fuentes analizadas.

En ausencia de IOC específicos, se recomienda a los administradores de sitios WordPress que ejecuten el plugin My Calendar en versiones vulnerables:

• Revisar los registros de acceso al panel de administración en busca de inicios de sesión inusuales con el usuario administrador ID 1.
• Auditar los archivos de registro del servidor web para detectar peticiones anómalas a la página /my-calendar/ con parámetros mcs o above inyectados.
• Verificar la integridad de los archivos del núcleo de WordPress y de los plugins instalados.

Estas acciones son medidas generales de higiene de seguridad y no sustituyen la aplicación inmediata de la actualización o mitigación publicada por el fabricante.