CVE-2026-6286 in Booking for Appointments and Events Calendar Plugin
Riassunto
di VulDB • 28/08/2026
Il plugin WordPress Booking for Appointments and Events Calendar – Amelia è vulnerabile a Stored Cross-Site Scripting (XSS) tramite i campi del nome del cliente nelle versioni fino alla 2.2 inclusa. Ciò è dovuto a un bypass dell'autenticazione in cui AddBookingCommand salta esplicitamente la verifica del nonce (riga 186 di Command.php), consentendo agli utenti non autenticati di inviare dati di prenotazione. Sebbene il plugin applichi sanitize_text_field() ai campi firstName e lastName del cliente (righe 302-308 di BookingApplicationService.php), questa funzione rimuove solo i tag HTML e conserva i caratteri speciali, incluse le virgolette doppie. La vulnerabilità si manifesta nella vista amministrativa del Calendario, dove un callback eventContent di FullCalendar interpola direttamente i nomi dei clienti nei template literal JavaScript (riga 199 di redesign/dist/index.js) e li renderizza tramite innerHTML senza una corretta codifica delle entità HTML. Poiché le virgolette doppie vengono conservate, un attaccante può iniettare payload come '" onmouseover="alert(document.cookie)"' per uscire dall'attributo title e iniettare gestori di eventi dannosi. Ciò consente agli attaccanti non autenticati di iniettare script web arbitrari che verranno eseguiti quando un amministratore accede alla pagina del Calendario e passa il mouse sopra l'appuntamento malevolo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.