CVE-2026-96573
WysokieCVSS 7.2Streszczenie
Wtyczka Appointment Hour Booking – Booking Calendar dla WordPress jest podatna na trwałe wstrzyknięcie skryptu DOM (stored DOM-based XSS) poprzez jednowierszowe pole formularza rezerwacji w komponencie renderującym listę kalendarza we wszystkich wersjach do 1.5.97 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Wykorzystanie wymaga ustawienia parametru 'list_readmore_numberofwords' na dodatnią wartość całkowitą; domyślna wartość 0 omija gałąź dekodowania i obcinania, przez co nie jest podatna na wykorzystanie.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających stronę, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy witryn, w których parametr 'list_readmore_numberofwords' ma wartość dodatnią.
Rekomendacja
Zaktualizuj wtyczkę Appointment Hour Booking do wersji nowszej niż 1.5.97. Jeśli aktualizacja nie jest możliwa, ustaw parametr 'list_readmore_numberofwords' na 0, aby uniknąć podatnej ścieżki.
Inne podatności w Appointment Hour Booking
Zobacz wszystkie- CVE-2026-65514Średnie
Wtyczka Appointment Hour Booking w wersjach do 1.5.86 zawiera podatność na atak XSS (Cross Site Scripting) z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wstrzyknąć złośliwy skrypt JavaScript.
- CVE-2026-66679Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce Appointment Hour Booking w wersjach do 1.5.91. Atak nie wymaga uwierzytelnienia.
- CVE-2026-16282Średnie
Wtyczka Appointment Hour Booking dla WordPressa przed wersją 1.5.88 nie weryfikuje ceny dostarczonej przez klienta z ceną usługi skonfigurowaną po stronie serwera. Nieuwierzytelnieni użytkownicy mogą przesłać dowolną cenę końcową (w tym zero lub ujemną), która jest zapisywana jako wiążąca cena rezerwacji, co uszkadza rekordy rezerwacji i płatności.
Oryginalny opis (angielski, źródło NVD)
The Appointment Hour Booking – Booking Calendar plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via Booking Form Single-Line Field via Schedule Calendar List Renderer in all versions up to, and including, 1.5.97 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the 'list_readmore_numberofwords' Other Parameters setting to be configured with a positive integer value; the default value of 0 bypasses the decode-and-truncate branch entirely and is not exploitable through this sink.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS