CVE-2026-6286 in Booking for Appointments and Events Calendar Plugin
Resumen
por VulDB • 2026-08-28
El plugin de WordPress Booking for Appointments and Events Calendar – Amelia es vulnerable a Cross-Site Scripting (XSS) almacenado mediante los campos del nombre del cliente en las versiones 2.2 y anteriores. Esto se debe a una omisión de autenticación donde AddBookingCommand salta explícitamente la verificación nonce (línea 186 de Command.php), permitiendo que usuarios no autenticados envíen datos de reserva. Aunque el plugin aplica sanitize_text_field() en los campos firstName y lastName del cliente (líneas 302-308 de BookingApplicationService.php), esta función solo elimina las etiquetas HTML y conserva caracteres especiales, incluidas las comillas dobles. La vulnerabilidad se manifiesta en la vista administrativa del calendario, donde una callback eventContent de FullCalendar interpola los nombres de los clientes directamente en literales de plantilla JavaScript (línea 199 de redesign/dist/index.js) y los renderiza mediante innerHTML sin un codificado adecuado de entidades HTML. Dado que las comillas dobles se conservan, un atacante puede inyectar payloads como '" onmouseover="alert(document.cookie)"' para salir del atributo title e inyectar controladores de eventos maliciosos. Esto permite a atacantes no autenticados inyectar scripts web arbitrarios que se ejecutarán cuando un administrador acceda a la página del calendario y pase el cursor sobre la cita maliciosa.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.