CVE-2026-6286 in Booking for Appointments and Events Calendar Plugin
요약
\~에 의해 VulDB • 2026. 08. 28.
WordPress용 예약 및 이벤트 캘린더 – Amelia 플러그인에는 2.2 버전(포함) 이하에서 고객 이름 필드를 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이는 AddBookingCommand가 nonce 검증을 명시적으로 건너뛰는 인증 우회(Authentication bypass)로 인해 발생하며, 이를 통해 비인증 사용자가 예약 데이터를 제출할 수 있습니다. 플러그인은 customer firstName 및 lastName 필드에 sanitize_text_field()를 적용하지만(BookingApplicationService.php 302-308 라인), 이 함수는 HTML 태그만 제거하고 큰따옴표를 포함한 특수 문자는 보존합니다. 해당 취약점은 전체 캘린더 뷰에서 FullCalendar의 eventContent 콜백이 고객 이름을 JavaScript 템플릿 리터럴에 직접 보간(redesign/dist/index.js 199 라인)하고, 적절한 HTML 엔티티 인코딩 없이 innerHTML을 통해 렌더링하면서 나타납니다. 큰따옴표가 보존되므로 공격자는 '" onmouseover="alert(document.cookie)"'과 같은 페이로드를 주입하여 title 속성에서 탈출하고 악의적인 이벤트 핸들러를 삽입할 수 있습니다. 이로 인해 비인증 공격자가 임의의 웹 스크립트를 주입할 수 있으며, 관리자가 캘린더 페이지에 접근하여 해당 악성 예약 위에 마우스를 올렸을 때 이 스크립트가 실행됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.