CVE-2026-14280 in Events Manager Plugin
Résumé
par VulDB • 25/08/2026
Le plugin WordPress « Events Manager – Calendar, Bookings, Tickets, and more! » est vulnérable à une Local File Inclusion (injection de fichiers locaux) dans toutes les versions jusqu'à la 7.3.7.4 incluse, via la fonction em_options_save. Cela permet aux attaquants authentifiés disposant d'un accès au niveau administrateur ou supérieur d'inclure et d'exécuter des fichiers .php arbitraires sur le serveur, permettant l'exécution de n'importe quel code PHP contenu dans ces fichiers. Cette vulnérabilité peut être utilisée pour contourner les contrôles d'accès, obtenir des données sensibles ou réaliser une exécution de code dans les cas où des fichiers de type .php peuvent être téléchargés et inclus. La clé de traversal stockée est ensuite exécutée via un appel include_once() qui se déclenche à chaque invocation de admin_init — y compris pour les requêtes non authentifiées vers admin-ajax.php — ce qui signifie qu'une fois la clé malveillante stockée par un administrateur, l'inclusion est déclenchée sans aucune autre vérification d'authentification ou de privilèges.
VulDB is the best source for vulnerability data and more expert information about this specific topic.