漏洞标题
Event Manager, Events Calendar, Tickets, Registrations – Eventin <= 4.0.26 - 任意文件读取漏洞（无需认证）
漏洞描述信息
## 漏洞概述
WordPress插件Eventin在所有版本（包括4.0.26版本）中存在任意文件读取漏洞。该漏洞通过proxy_image()函数导致未认证的攻击者可以读取服务器上的任意文件内容，这些文件可能包含敏感信息。
## 影响版本
- 所有版本，包括4.0.26
## 漏洞细节
该漏洞存在于Eventin插件中的proxy_image()函数，允许未认证的攻击者读取服务器上的任意文件内容。这一功能泄露了服务器上的敏感信息，对服务器安全造成严重威胁。
## 漏洞影响
- 未认证的攻击者可以利用该漏洞读取服务器上的任意文件，包括但不限于配置文件、数据库文件等。
- 泄露的敏感信息可能导致进一步的安全威胁，如服务器被完全控制。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
漏洞类别
对路径名的限制不恰当(路径遍历)
漏洞标题
Event Manager, Events Calendar, Tickets, Registrations – Eventin <= 4.0.26 - Unauthenticated Arbitrary File Read
漏洞描述信息
The Event Manager, Events Calendar, Tickets, Registrations – Eventin plugin for WordPress is vulnerable to arbitrary file read in all versions up to, and including, 4.0.26 via the proxy_image() function. This makes it possible for unauthenticated attackers to read the contents of arbitrary files on the server, which can contain sensitive information.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
漏洞类别
文件名或路径的外部可控制