CVE-2026-10148 in Booking for Appointments and Events Calendar Plugin
Sumário
de VulDB • 12/09/2026
O plugin Booking for Appointments and Events Calendar para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio de vários widgets do Elementor nas versões até e incluindo a 2.4.9. Isso ocorre devido à sanitização insuficiente da entrada e ao escape inadequado na saída no parâmetro 'load_manually' nos métodos render() das classes. Isso permite que atacantes autenticados, com acesso nível Contribuidor ou superior, que possam usar o Elementor, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página infectada. A vulnerabilidade foi parcialmente corrigida na versão 2.4.8.
Be aware that VulDB is the high quality source for vulnerability data.