My Calendar : exécution de fonctions PHP et élévation de privilèges

Veille sécuritéCMS & e-commerce

P3Critique

CVE-2026-104798 affecte My Calendar jusqu’à la version 3.8.7 incluse et peut permettre à un attaquant non authentifié d’exécuter des fonctions PHP arbitraires, avec possibilité de prise de contrôle du compte administrateur. La fiche NVD a été publiée et mise à jour pendant la période ; aucune version corrigée n’est indiquée dans les données fournies.

IdentifiantCVE-2026-104798

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-104798

Analyse technique

Le paramètre public mcs peut injecter un shortcode imbriqué ; la navigation du calendrier transmet ensuite des valeurs à call_user_func() sans contrôle d’autorisation ni liste d’appels autorisés.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-16 et mise à jour le 2026-10-16 ; les données décrivent une vulnérabilité et ses conséquences, pas une simple modification administrative.

ImpactUne exploitation pourrait permettre la prise de contrôle d’un compte administrateur et du site.

Versions affectéesToutes les versions jusqu’à 3.8.7 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,89% · percentile 58,6%

Publication2026-10-16T05:17:28.580Z

Mise à jour2026-10-16T18:17:20.360Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; envisager de désactiver le plugin jusqu’à l’application d’un correctif.

Sources

NVD — CVE-2026-104798

Priorisation DFS : P3 · 1 source(s).