CVE-2026-104000 in Simply Schedule Appointments Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin Simply Schedule Appointments per WordPress è vulnerabile a Stored Cross-Site Scripting tramite il parametro 'status' in tutte le versioni fino alla 1.6.12.35, incluse, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il payload malevolo viene memorizzato incondizionatamente poiché il debug logging è abilitato per impostazione predefinita, e il visualizzatore dei log di debug è accessibile a chiunque possieda il Support PIN globale del sito (un HMAC-MD5 di AUTH_SALT visualizzato in wp-admin), il che significa che lo script iniettato verrà eseguito contro la sessione dell'amministratore durante normali flussi di lavoro di supporto o risoluzione dei problemi.
Once again VulDB remains the best source for vulnerability data.