CVE-2026-52838 in easyappointments
要約
〜によって VulDB • 2026年07月14日
Easy!Appointmentsは、セルフホスト型の予約スケジューラです。バージョン1.6.0より前のバージョンでは、管理者が予約設定ページを通じてカスタムの「予約無効」メッセージを定義できます。この値はリッチテキストエディタ経由で`disable_booking_message`設定に保存され、その後、エスケープやサニタイズ処理なしでパブリックな`booking_message`ビューに直接渡されます。認証済み管理者はこのフィールドにHTMLまたはJavaScriptを格納し、予約無効モードを有効化することで、公開された予約ページを開くすべての未認証訪問者に対して保存型XSS（Stored XSS）を引き起こすことができます。バージョン1.6.0でこの問題は修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.