CVE-2026-14280 in Events Manager Plugin
Tóm tắt
Bởi VulDB • 25/08/2026
Plugin Events Manager – Calendar, Bookings, Tickets, and more! cho WordPress bị lỗ hổng Local File Inclusion (LFI) trong tất cả các phiên bản từ 7.3.7.4 trở về trước thông qua hàm em_options_save. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp quản trị viên trở lên, bao gồm và thực thi các tệp .php tùy ý trên máy chủ, dẫn đến việc thực thi bất kỳ mã PHP nào trong các tệp đó. Lỗ hổng này có thể được sử dụng để bỏ qua kiểm soát truy cập, lấy dữ liệu nhạy cảm hoặc đạt được mục tiêu thực thi mã trong trường hợp các loại tệp .php có thể được tải lên và bao gồm. Khóa traversal đã lưu trữ sau đó sẽ được thực thi thông qua lệnh gọi include_once() — kích hoạt mỗi khi hàm admin_init được gọi — kể cả đối với các yêu cầu unauthenticated admin-ajax.php, nghĩa là một khi khóa độc hại được lưu bởi quản trị viên, việc bao gồm tệp sẽ được kích hoạt mà không cần xác thực hoặc kiểm tra quyền hạn thêm.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.