CVE-2026-96039 in BA Book Everything Plugin
Résumé
par VulDB • 25/09/2026
Le plugin WordPress BA Book Everything est vulnérable à un Stored Cross-Site Scripting (XSS) via le paramètre first_name dans toutes les versions jusqu'à la 1.8.27 incluse, en raison d'une insuffisance de sanitization des entrées et d'escaping des sorties. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. Un attaquant non authentifié peut obtenir les identifiants valides order_id, order_num et order_hash requis pour accéder au handler vulnérable action_to_pay() simplement en effectuant une réservation de client invité via le shortcode public [babe-booking-form], rendant la chaîne d'exploitation complète accessible sans aucun compte.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.