The Events Calendar: две критические уязвимости без авторизации

Прочитал у Wordfence, что в плагине The Events Calendar нашли две критические уязвимости, позволяющие взломать сайт без авторизации. Обе цепочки эксплуатации начинаются с комментариев на страницах мероприятий — если включены, а плагин не обновлён, злоумышленник может запустить произвольный код на сервере, сменить пароль админа или полностью захватить сайт. Уязвимы версии до 6.17.4.1, а исправлены они только в последнем обновлении.

Считаю, что это серьёзно — не просто «ещё одна уязвимость», а возможность полного захвата сайта без логина. Особенно тревожит, что эксплуатация работает через комментарии, которые могут быть оставлены любым посетителем. Это не «взлом через форму», а прямой доступ, если плагин не обновлён. На мой взгляд, такие уязвимости — не редкость, но их критичность растёт, когда они не требуют аутентификации.

Я уже проверил, у кого из клиентов установлен этот плагин. У тех, у кого не обновлён — поставил в план на ближайшую неделю. Пока не срочно, но обновлять нужно. Уже включил проверку на наличие уязвимых версий в регулярном сканировании. У тех, у кого есть обновление — проверил, что оно установлено. Считаю, что лучше не ждать, пока начнётся массовая атака, а закрыть дыру заранее.