CVE-2026-52838
NiskieCVSS 2.6Streszczenie
Podatność XSS w Easy!Appointments pozwala administratorowi na przechowywanie złośliwego kodu HTML/JavaScript w polu komunikatu o wyłączonych rezerwacjach. Kod ten jest wyświetlany bez filtrowania na publicznej stronie rezerwacji, atakując każdego niezalogowanego odwiedzającego.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych osobowych klientów.
Rekomendacja
Należy natychmiast zaktualizować Easy!Appointments do wersji 1.6.0 lub nowszej, która zawiera poprawkę usuwającą podatność.
Oryginalny opis (angielski, źródło NVD)
Easy!Appointments is a self hosted appointment scheduler. Versions prior to 1.6.0 allow administrators to define a custom "booking disabled" message through the booking settings page. That value is stored in the `disable_booking_message` setting via a rich-text editor and later passed directly to the public `booking_message` view without escaping or sanitization. An authenticated administrator can store HTML or JavaScript in this field, enable disabled-booking mode, and trigger stored XSS in every unauthenticated visitor who opens the public booking page. Version 1.6.0 fixes the issue.