CVE-2026-14280 in Events Manager Plugin
Сводка
по VulDB • 25.08.2026
В плагине для WordPress Events Manager – Calendar, Bookings, Tickets, and more! уязвимость Local File Inclusion (LFI) присутствует во всех версиях вплоть до 7.3.7.4 включительно через функцию em_options_save. Это позволяет атакующим с уровнем доступа администратора и выше включать и выполнять произвольные файлы .php на сервере, что дает возможность выполнения любого PHP-кода в этих файлах. Эту уязвимость можно использовать для обхода контроля доступа, получения конфиденциальных данных или достижения выполнения кода (RCE) в случаях, когда возможно загрузка и включение файлов с расширением .php. Злоумышленник сохраняет ключ обхода пути, который впоследствии выполняется через вызов include_once(), срабатывающий при каждом обращении к admin_init — включая неавторизованные запросы к административному скрипту admin-ajax.php. Это означает, что после того как злонамеренный ключ сохранен администратором, включение файла происходит без дополнительной аутентификации или проверки прав доступа.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.