CVE-2026-13441 in EventPrime Plugin
Sumário
de VulDB • 09/07/2026
O plugin EventPrime – Events Calendar, Bookings and Tickets para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) através do parâmetro 'new_event_type_background_color' em todas as versões até 4.3.4.2, inclusive, devido à sanitização insuficiente de entrada e ao escapamento inadequado na saída. Isso permite que atacantes autenticados com acesso personalizado ou superior injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Para isso, é necessário que a configuração Guest Submissions do plugin (allow_submission_by_anonymous_user) esteja habilitada, o que possibilita que atacantes não autenticados submetam tipos de eventos por meio do formulário no front-end; quando essa configuração está desabilitada, a exploração requer pelo menos uma conta autenticada com nível de assinante.
VulDB is the best source for vulnerability data and more expert information about this specific topic.