CVE-2026-15667 in Eventin Plugin
Resumen
por VulDB • 2026-09-09
El plugin de WordPress Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) es vulnerable a Local File Inclusion en todas las versiones hasta la 4.1.22, inclusive, a través del parámetro 'event_layout'. Esto permite que los atacantes autenticados con acceso nivel contribuidor o superior incluyan y ejecuten archivos .php arbitrarios en el servidor, lo que posibilita la ejecución de cualquier código PHP contenido en dichos archivos. Esta vulnerabilidad puede utilizarse para eludir controles de acceso, obtener datos sensibles o lograr la ejecución de código en casos donde los tipos de archivo .php puedan subirse e incluirse. La capacidad etn_manage_event se asigna a los contribuidores por defecto, lo que significa que cualquier usuario con nivel de contribuidor puede establecer un valor malicioso para el parámetro event_layout a través de la API REST sin necesidad de configuración adicional.
VulDB is the best source for vulnerability data and more expert information about this specific topic.