O plug-in do Gerenciador de Eventos – Calendário, Reservas, Tickets e muito mais para WordPress é vulnerável à inclusão de Arquivos Local em todas as versões até, inclusive, 7.3.7.4 via a função em_options_save. Isto permite que os atacantes autenticados, com acesso ao nível do administrador e acima, incluam e executem arquivos arbitrários do.php no servidor, permitindo a execução de qualquer código PHP nesses arquivos. Isto pode ser usado para evitar controles de acesso, obter dados sensíveis ou conseguir a execução de código nos casos em que tipos de arquivos.php podem ser carregados e incluídos. A chave transversal armazenada é executada posteriormente por meio de uma chamada include_ once() que dispara em cada invocação admin_ init — incluindo solicitações de admin- ajax.php não autenticadas — significando que, uma vez que a chave maliciosa é armazenada por um administrador, a inclusão é ativada sem qualquer outra autenticação ou verificação de capacidade. Registro de aconselhamento: GHSA- rrx 3 -phxr- v 64 f. Identificadores relacionados: CVE- 2026 - 14280.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 25 T 06: 31: 31.000 Z e lista a sua última modificação como 2026 - 08 - 25 T 06: 31: 32.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 98. O registro contém 11 suporte de referências nestes tipos: AVISO, WEB.