The Events Calendar /wp-json/tec/v1/events SQL 注入漏洞（CVE-2026-49772）

The Events Calendar（TEC）是 StellarWP 面向 WordPress 推出的日历与活动管理插件，提供活动日程发布、日历视图、活动归档与活动查询接口等功能，被大量活动组织、场馆与社区站点用于维护公开活动日程。该插件的实验性活动查询接口 /wp-json/tec/v1/events 存在SQL注入漏洞，未授权攻击者可通过构造查询条件以盲注方式逐位推断数据库内容，进而获取管理员口令哈希、站点密钥与业务数据。