CVE-2026-93875 in JetAppointment Plugin
Sumário
de VulDB • 02/10/2026
O plugin JetAppointment para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) através do parâmetro 'friendlyTime' em todas as versões até, e incluindo, 2.5.2.1 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O payload injetado é armazenado na tabela wp_jet_appointments_meta através do endpoint jet_engine_form_booking_submit sem necessidade de autenticação e executa no navegador do administrador quando o popup dos detalhes da consulta é aberto no painel administrativo do WordPress.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.