CVE-2026-66679

Wtyczka Appointment Hour Booking – Booking Calendar dla WordPress jest podatna na trwałe wstrzyknięcie skryptu DOM (stored DOM-based XSS) poprzez jednowierszowe pole formularza rezerwacji w komponencie renderującym listę kalendarza we wszystkich wersjach do 1.5.97 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Wykorzystanie wymaga ustawienia parametru 'list_readmore_numberofwords' na dodatnią wartość całkowitą; domyślna wartość 0 omija gałąź dekodowania i obcinania, przez co nie jest podatna na wykorzystanie.

Wtyczka Appointment Hour Booking w wersjach do 1.5.86 zawiera podatność na atak XSS (Cross Site Scripting) z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wstrzyknąć złośliwy skrypt JavaScript.

Wtyczka Appointment Hour Booking dla WordPressa przed wersją 1.5.88 nie weryfikuje ceny dostarczonej przez klienta z ceną usługi skonfigurowaną po stronie serwera. Nieuwierzytelnieni użytkownicy mogą przesłać dowolną cenę końcową (w tym zero lub ujemną), która jest zapisywana jako wiążąca cena rezerwacji, co uszkadza rekordy rezerwacji i płatności.