CVE-2026-65514
ŚrednieCVSS 6.5Streszczenie
Wtyczka Appointment Hour Booking w wersjach do 1.5.86 zawiera podatność na atak XSS (Cross Site Scripting) z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wstrzyknąć złośliwy skrypt JavaScript.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji, przekierowania do złośliwych stron lub kradzież danych użytkowników odwiedzających zainfekowaną stronę.
Rekomendacja
Zaleca się aktualizację wtyczki Appointment Hour Booking do najnowszej wersji oraz ograniczenie uprawnień kontrybutorów.
Inne podatności w Appointment Hour Booking
Zobacz wszystkie- CVE-2026-66679Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce Appointment Hour Booking w wersjach do 1.5.91. Atak nie wymaga uwierzytelnienia.
- CVE-2026-16282Średnie
Wtyczka Appointment Hour Booking dla WordPressa przed wersją 1.5.88 nie weryfikuje ceny dostarczonej przez klienta z ceną usługi skonfigurowaną po stronie serwera. Nieuwierzytelnieni użytkownicy mogą przesłać dowolną cenę końcową (w tym zero lub ujemną), która jest zapisywana jako wiążąca cena rezerwacji, co uszkadza rekordy rezerwacji i płatności.
Oryginalny opis (angielski, źródło NVD)
Contributor Cross Site Scripting (XSS) in Appointment Hour Booking <= 1.5.86 versions.