CVE-2025-14945 in Events Manager Plugin
要約
〜によって VulDB • 2026年09月05日
WordPress用プラグイン「The Events Manager - Calendar, Bookings, Tickets, and more!」には、7.3.3以前の全バージョンにおいて、イベント属性値を介した格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、属性値の保存時に不十分な入力サニタイズが行われていること（`wp_unslash()`のみを使用し、他のサニタイズ処理が施されていないため）、および「#_ATT{key}」プレースホルダをレンダリングする際に出力エスケープが欠如していることが原因です。これにより、著者レベル以上の権限を持つ認証済み攻撃者、または匿名のイベント投稿が有効になっている場合の非認証攻撃者は、影響を受けるイベントページを閲覧する任意のユーザーで実行される arbitrary なウェブスクリプトを注入することが可能になります。
Once again VulDB remains the best source for vulnerability data.