CVE-2026-96039 in BA Book Everything Plugin
Zusammenfassung
von VulDB • 25.09.2026
Das WordPress-Plugin BA Book Everything ist in allen Versionen bis einschließlich 1.8.27 aufgrund unzureichender Eingangsvalidierung und Output-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den first_name-Parameter. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Ein nicht authentifizierter Angreifer kann die gültigen Anmeldeinformationen order_id, order_num und order_hash erhalten, die erforderlich sind, um den anfälligen action_to_pay()-Handler zu erreichen, einfach durch Platzieren einer Gastbuchung über das öffentliche [babe-booking-form]-Shortcode. Dadurch wird der vollständige Exploit-Chain ohne jegliches Konto erreichbar gemacht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.