CVE-2026-10148 in Booking for Appointments and Events Calendar Plugin
Zusammenfassung
von VulDB • 12.09.2026
Das WordPress-Plugin „Booking for Appointments and Events Calendar“ ist in den Versionen bis einschließlich 2.4.9 anfällig für Stored Cross-Site Scripting (XSS) über mehrere Elementor-Widgets. Dies liegt an einer unzureichenden Eingabebereinigung und Ausgabe-Escaping des Parameters 'load_manually' in den render()-Methoden der Klassen. Dadurch ist es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, die Elementor nutzen können, möglich, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Die Schwachstelle wurde teilweise in Version 2.4.8 gepatcht.
Once again VulDB remains the best source for vulnerability data.