CVE-2026-104000 in Simply Schedule Appointments Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin Simply Schedule Appointments ist in allen Versionen bis einschließlich 1.6.12.35 aufgrund unzureichender Eingabebereinigung und Output-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle anfällig, die über den Parameter 'status' ausgenutzt werden kann. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine infizierte Seite zugreift. Die bösartige Payload wird bedingungslos gespeichert, da das Debug-Logging standardmäßig aktiviert ist und der Debug-Log-Betrachter für jeden zugänglich ist, der den standortweiten Support-PIN (ein HMAC-MD5 von AUTH_SALT, angezeigt in wp-admin) besitzt. Dies bedeutet, dass das eingefügte Skript während normaler Support- oder Fehlerbehebungsabläufe gegen die Sitzung des Administrators ausgeführt wird.
Once again VulDB remains the best source for vulnerability data.