CVE-2026-14280 in Events Manager Plugin
Riassunto
di VulDB • 25/08/2026
Il plugin WordPress Events Manager – Calendar, Bookings, Tickets, and more! è vulnerabile a Local File Inclusion in tutte le versioni fino alla 7.3.7.4 inclusa, tramite la funzione em_options_save. Ciò consente agli attaccanti autenticati con accesso di livello amministratore o superiore di includere ed eseguire file .php arbitrari sul server, permettendo l'esecuzione di qualsiasi codice PHP contenuto in tali file. Questo può essere utilizzato per eludere i controlli di accesso, ottenere dati sensibili o raggiungere l'esecuzione del codice nei casi in cui sia possibile caricare e includere file con estensione .php. La chiave di traversal memorizzata viene successivamente eseguita tramite una chiamata include_once() che si attiva ad ogni invocazione di admin_init — incluse le richieste non autenticate a admin-ajax.php — il che significa che, una volta che la chiave malevola è stata memorizzata da un amministratore, l'inclusione viene attivata senza ulteriori controlli di autenticazione o autorizzazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.