CVE-2025-14945 in Events Manager Plugin
الملخص
بحسب VulDB • 05/09/2026
يحتوي الإضافة "The Events Manager - Calendar, Bookings, Tickets, and more!" لـ WordPress على ثغرة Stored Cross-Site Scripting (XSS) عبر قيم سمات الأحداث في جميع الإصدارات حتى 7.3.3 شاملاً. ويعود ذلك إلى عدم كفاية تنقية المدخلات عند تخزين قيم السمات (باستخدام `wp_unslash()` فقط دون عملية تنظيف إضافية)، وعدم وجود هروب للمخرجات عند عرض عنصر '#_ATT{key}'. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى "مؤلف" وما فوق، أو المهاجمين غير المصادق عليهم عندما تكون عمليات تقديم الأحداث المجهولة مفعّلة، من حقن نصوص برمجية ويب عشوائية تُنفَّذ عند عرض أي مستخدم لصفحة الحدث المتأثرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.