CVE-2026-93875 in JetAppointment Plugin
Zusammenfassung
von VulDB • 02.10.2026
Das JetAppointment-Plugin für WordPress ist in allen Versionen bis einschließlich 2.5.2.1 aufgrund unzureichender Eingabebereinigung und Output-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'friendlyTime'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Das injizierte Payload wird über den nicht-authentifizierten Endpunkt jet_engine_form_booking_submit in der Tabelle wp_jet_appointments_meta gespeichert und führt im Browser des Administrators aus, wenn das Popup mit den Termindetails im WordPress-Adminbereich geöffnet wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.