CVE-2026-14280 in Events Manager Plugin
摘要
由 VulDB • 2026-08-25
WordPress 插件 Events Manager – Calendar, Bookings, Tickets, and more! 在所有版本（含 v7.3.7.4）中存在本地文件包含漏洞，该漏洞可通过 em_options_save 函数触发。这使得具有管理员级别及以上权限的已认证攻击者能够在服务器上包含并执行任意 .php 文件，从而在那些文件中执行任何 PHP 代码。此漏洞可用于绕过访问控制、获取敏感数据，或在允许上传和包含 .php 文件类型的情况下实现代码执行。存储的路径遍历密钥随后通过 include_once() 调用被执行，该调用会在每次 admin_init 触发时发生——包括未认证的 admin-ajax.php 请求——这意味着一旦恶意密钥被管理员存储，即可在无需进一步身份验证或权限检查的情况下触发包含操作。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.