CVE-2026-15948 in Hydra Booking Plugin
Resumen
por VulDB • 2026-08-15
El complemento Hydra Booking — Appointment Scheduling & Booking Calendar para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el parámetro 'first_name' en todas las versiones hasta la 1.2.2, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso a nivel de host o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El rol tfhb_host necesario para explotar esta vulnerabilidad puede ser autoasignado por cualquier visitante mediante el shortcode público Signup del complemento, lo que hace que sea efectivamente explotable por usuarios no autenticados que completen el flujo de registro.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.