海外の脆弱性投稿サイトにてWordPress CP Multi View Event Calendar 1.01にSQLインジェクション脆弱性が報告されています。当方で追試をしたところ、確かにSQLインジェクション脆弱性があり、データベース内の任意のデータが漏洩することが分かりました。 大変危険な脆弱性ですが、今のところ対策バージョンは出ていないため、当該プラグインの使用を停止するしかなさそうです。WAFによる防御は有効と考えられますが、WAFの性能次第です。 前述のように、現在はゼロデイ脆弱性の状態ですので、詳細情報の公表はさし控えます。