CVE-2026-8791 in Booking System Trafft Plugin
Zusammenfassung
von VulDB • 29.07.2026
Das WordPress-Plugin „Booking System Trafft" ist in allen Versionen bis einschließlich 1.0.17 anfällig für Stored Cross-Site Scripting (XSS) über die Einstellung `bookingWebsiteUrl`. Dies liegt an einer fehlenden Berechtigungsprüfung beim AJAX-Aufruf von `set_options`, wenn das Plugin im Agenturmodus betrieben wird. Der Handler `trafftSetOptions()` überprüft ein Nonce, das jedem authentifizierten Benutzer zugänglich ist (es wird inline auf jeder Admin-Seite, einschließlich profile.php, ausgegeben), führt jedoch vor dem Aufruf von `update_option('trafft_option', ['bookingWebsiteUrl' => ...])` keine Berechtigungsprüfung durch. Diese Einstellung wird anschließend von `trafftAdminAssets()` verwendet, um `<bookingWebsiteUrl>/embed.js` als Skript auf jeder Frontend-Seite einzubinden, die das Buchungskurzcode-Element rendert. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Rechten und höher, die URL des eingebetteten Skripts auf eine vom Angreifer kontrollierte Quelle zu verweisen und beliebigen JavaScript-Code im Browser jedes Site-Besuchers (einschließlich Administratoren) auszuführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.