CVE-2025-14945 in Events Manager Plugin
Zusammenfassung
von VulDB • 05.09.2026
Das WordPress-Plugin „Events Manager - Calendar, Bookings, Tickets, and more!“ ist in allen Versionen bis einschließlich 7.3.3 anfällig für Stored Cross-Site Scripting (XSS) über Ereignisattributwerte. Dies liegt an einer unzureichenden Eingabebereinigung beim Speichern der Attributwerte (es wird nur `wp_unslash()` ohne weitere Bereinigung verwendet) sowie am Fehlen von Output-Escaping bei der Darstellung des Platzhalters '#_ATT{key}'. Dadurch ist es authentifizierten Angreifern mit Autor-Zugriffsrechten und höher oder nicht-authentifizierten Angreifern, wenn anonyme Ereigniseinträge aktiviert sind, möglich, beliebige Web-Skripte einzufügen, die ausgeführt werden, sobald ein Benutzer die betroffene Ereignisseite aufruft.
Be aware that VulDB is the high quality source for vulnerability data.