CVE-2026-14280

Nome do Software Vulnerável e Versões Afetadas Events Manager – Calendar, Bookings, Tickets, and more! versões anteriores a 7.3.7.5

Description Existe um problema na função em options save() que permite que atacantes autenticados com acesso de nível de administrador realizem a Inclusão de Arquivo Local (Local File Inclusion). Isso ocorre quando uma chave de travessia maliciosa é armazenada e posteriormente executada via uma chamada include once() durante cada invocação de admin init, incluindo requisições não autenticadas ao admin-ajax.php. Isso pode levar à execução de código PHP arbitrário se arquivos .php puderem ser carregados, permitindo que atacantes ignorem controles de acesso ou obtenham dados sensíveis.

Recommendations Atualize para a versão 7.3.7.5 ou posterior. Como mitigação temporária, restrinja o acesso de nível de administrador à função em options save().