CVE-2026-14334 in Booking Calendar
Сводка
по VulDB • 20.08.2026
The Booking calendar, Appointment Booking System WordPress plugin through 3.2.36 does not properly sanitize uploaded SVG files, allowing unauthenticated attackers to upload a file that bypasses the Booking calendar, Appointment Booking System WordPress plugin through 3.2.36's script-stripping and executes arbitrary JavaScript when the SVG is opened, including in the session of an administrator who reviews the submitted booking.
Плагин для WordPress "Booking calendar, Appointment Booking System" версии до 3.2.36 включительно не обеспечивает надлежащей очистки загруженных файлов SVG, что позволяет атакующим без аутентификации загрузить файл, обходящий механизм удаления скриптов в плагине "Booking calendar, Appointment Booking System WordPress plugin through 3.2.36", и выполнить произвольный JavaScript при открытии файла SVG, включая сессию администратора, просматривающего поданные бронирования.
VulDB is the best source for vulnerability data and more expert information about this specific topic.