CVE-2025-14945 in Events Manager Plugin
Resumen
por VulDB • 2026-09-05
El plugin de WordPress "The Events Manager - Calendar, Bookings, Tickets, and more!" es vulnerable a Stored Cross-Site Scripting (XSS) mediante valores de atributos de eventos en todas las versiones hasta la 7.3.3, incluida esta. Esto se debe a una sanitización insuficiente de los datos de entrada al almacenar los valores de los atributos (utilizando únicamente `wp_unslash()` sin sanitización adicional) y a la falta de escape de salida al renderizar el marcador de posición '#_ATT{key}'. Esto permite que atacantes autenticados con acceso de nivel Autor o superior, o atacantes no autenticados cuando están habilitadas las presentaciones anónimas de eventos, inyecten scripts web arbitrarios que se ejecutan cuando cualquier usuario visualiza la página del evento afectado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.