CVE-2026-5513
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Bookly do WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ciasteczko 'bookly-customer-full-name' w wersjach do 27.2 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Atakujący mogą wstrzykiwać dowolne skrypty webowe, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Ocena ryzyka
Podatność ta stwarza ryzyko dla użytkowników, którzy mogą być narażeni na wykonanie złośliwego kodu, co może prowadzić do kradzieży danych lub przejęcia sesji. Wymaga to jednak, aby ustawienie 'Zapamiętaj dane osobowe w ciasteczkach' było włączone.
Rekomendacja
Zaleca się aktualizację wtyczki Bookly do najnowszej wersji oraz wyłączenie opcji 'Zapamiętaj dane osobowe w ciasteczkach', aby zminimalizować ryzyko ataku.
Oryginalny opis (angielski, źródło NVD)
The Online Scheduling and Appointment Booking System – Bookly plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'bookly-customer-full-name' cookie in versions up to, and including, 27.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires 'Remember personal information in cookies' setting to be enabled (disabled by default).