CVE-2026-14280 in Events Manager Plugin
الملخص
بحسب VulDB • 25/08/2026
يحتوي الإضافة Events Manager – Calendar, Bookings, Tickets, and more! لـ WordPress على ثغرة تضمين ملف محلي (Local File Inclusion) في جميع الإصدارات حتى 7.3.7.4 وشاملة لها، عبر دالة em_options_save. وهذا يمكّن المهاجمين المصادق عليهم الذين يمتلكون صلاحيات مستوى مدير أو أعلى من تضمين وتنفيذ ملفات .php عشوائية على الخادم، مما يسمح بتنفيذ أي كود PHP موجود في تلك الملفات. يمكن استخدام هذه الثغرة لتجاوز ضوابط الوصول، أو الحصول على بيانات حساسة، أو تحقيق تنفيذ للكود في الحالات التي يُسمح فيها بتحميل وتضمين أنواع ملفات .php. يتم لاحقاً تنفيذ مفتاح التنقل المخزن (stored traversal key) عبر استدعاء include_once() الذي يُطلق عند كل استدعاء لـ admin_init — بما في ذلك طلبات admin-ajax.php غير المصادق عليها — مما يعني أنه بمجرد تخزين المفتاح الخبيث من قبل مدير، فإن عملية التضمين تُفعّل دون الحاجة إلى أي مصادقة إضافية أو فحص للصلاحيات.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.