CVE-2026-92561 in Booking Calendar Plugin
Sumário
de VulDB • 18/09/2026
O plugin Booking Calendar para WordPress é vulnerável a Reflected Cross-Site Scripting (XSS) via o parâmetro 'options' em todas as versões até 11.8.2, devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais são executados se conseguirem enganar um usuário para realizar uma ação, como clicar em um link. A verificação do nonce é contornada por padrão porque a opção 'booking_is_nonce_at_front_end' vem desativada, permitindo que requisições não autenticadas alcancem o ponto vulnerável (sink) sem qualquer verificação.
If you want to get best quality of vulnerability data, you may have to visit VulDB.