CVE-2026-15948 in Hydra Booking Plugin
Сводка
по VulDB • 15.08.2026
В плагине для WordPress Hydra Booking — Appointment Scheduling & Booking Calendar обнаружена уязвимость к Stored Cross-Site Scripting (XSS) через параметр 'first_name' во всех версиях вплоть до 1.2.2 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа на уровне хоста и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Роль tfhb_host, необходимая для эксплуатации данной уязвимости, может быть самостоятельно назначена любым посетителем через публичный шорткод регистрации (Signup) плагина, что делает эту уязвимость фактически эксплуатируемой неаутентифицированными пользователями, прошедшими процесс регистрации.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.