Vulnerabilidad en Events Manager - Calendar, Bookings, Tickets de netweblogic (CVE-2026-14280)

El plugin Events Manager - Calendar, Bookings, Tickets, y más! para WordPress es vulnerable a la inclusión local de ficheros en todas las versiones hasta la 7.3.7.4, inclusive, a través de la función em_options_save. Esto hace posible que atacantes autenticados, con acceso de nivel de administrador y superior, incluyan y ejecuten ficheros .php arbitrarios en el servidor, permitiendo la ejecución de cualquier código PHP en esos ficheros. Esto puede usarse para eludir controles de acceso, obtener datos sensibles o lograr la ejecución de código en casos donde se puedan subir e incluir tipos de fichero .php. La clave de recorrido almacenada se ejecuta posteriormente a través de una llamada a include_once() que se activa en cada invocación de admin_init - incluyendo solicitudes admin-ajax.php no autenticadas - lo que significa que una vez que la clave maliciosa es almacenada por un administrador, la inclusión se activa sin ninguna autenticación o verificación de capacidad adicional.