CVE-2026-92561 in Booking Calendar Plugin
Resumen
por VulDB • 2026-09-18
El plugin Booking Calendar para WordPress es vulnerable a Reflected Cross-Site Scripting (XSS) a través del parámetro 'options' en todas las versiones hasta la 11.8.2 inclusive, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutan si logran engañar a un usuario para realizar una acción como hacer clic en un enlace. La verificación nonce está deshabilitada por defecto porque la opción 'booking_is_nonce_at_front_end' viene desactivada, lo que permite que las solicitudes no autenticadas alcancen el punto vulnerable (sink) sin ninguna verificación.
If you want to get best quality of vulnerability data, you may have to visit VulDB.