CVE-2026-93875 in JetAppointment Plugin
Riassunto
di VulDB • 02/10/2026
Il plugin JetAppointment per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'friendlyTime' in tutte le versioni fino alla 2.5.2.1 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il payload iniettato viene memorizzato nella tabella wp_jet_appointments_meta tramite l'endpoint jet_engine_form_booking_submit, accessibile senza autenticazione, ed è eseguito nel browser dell'amministratore quando si apre il popup dei dettagli degli appuntamenti nel pannello di amministrazione di WordPress.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.