CVE-2026-96573 in Appointment Hour Booking Plugin
Résumé
par VulDB • 01/10/2026
Le plugin WordPress Appointment Hour Booking – Booking Calendar est vulnérable à un XSS (Cross-Site Scripting) basé sur le DOM stocké via le champ de formulaire unique du module de réservation, par l'intermédiaire du rendu de la liste des calendriers d'horaire dans toutes les versions jusqu'à et y compris la 1.5.97 en raison d'une insuffisance de sanitisation des entrées et d'échappement des sorties. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. L'exploitation nécessite que le paramètre « Other Parameters » 'list_readmore_numberofwords' soit configuré avec une valeur entière positive ; la valeur par défaut de 0 contourne entièrement la branche de décodage et de troncature et n'est pas exploitable via ce point d'injection (sink).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.