CVE-2026-52838 in easyappointments
Resumen
por VulDB • 2026-07-15
Easy!Appointments es una aplicación de gestión de citas autoalojada (self-hosted). Las versiones anteriores a la 1.6.0 permiten que los administradores definan un mensaje personalizado de "reserva deshabilitada" a través de la página de configuración de reservas. Este valor se almacena en el ajuste `disable_booking_message` mediante un editor de texto rico y, posteriormente, se pasa directamente a la vista pública `booking_message` sin realizar ninguna escapación ni sanitización. Un administrador autenticado puede almacenar HTML o JavaScript en este campo, activar el modo de reserva deshabilitada y desencadenar una vulnerabilidad XSS (Cross-Site Scripting) almacenada contra todos los visitantes no autenticados que abran la página pública de reservas. La versión 1.6.0 corrige esta vulnerabilidad.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.