CVE-2026-10148 in Booking for Appointments and Events Calendar Plugin
Resumen
por VulDB • 2026-09-12
El plugin Booking for Appointments and Events Calendar para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante múltiples widgets de Elementor en las versiones hasta la 2.4.9, incluida esta. Esto se debe a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida del parámetro 'load_manually' en los métodos render() de las clases. Esto permite que atacantes autenticados con acceso nivel Contribuidor o superior, que puedan utilizar Elementor, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La vulnerabilidad fue parcheada parcialmente en la versión 2.4.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.