CVE-2026-6286 in Booking for Appointments and Events Calendar Plugin
Tóm tắt
Bởi VulDB • 28/08/2026
Plugin Amelia – Booking for Appointments and Events Calendar cho WordPress bị lỗ hổng Cross-Site Scripting (XSS) lưu trữ trong các trường tên khách hàng ở các phiên bản từ 2.0 trở lên, bao gồm cả phiên bản 2.2. Lỗ hổng này là do cơ chế bỏ qua xác thực (authentication bypass), nơi lệnh AddBookingCommand bỏ qua việc kiểm tra nonce một cách rõ ràng (tệp Command.php dòng 186), cho phép người dùng chưa được xác thực gửi dữ liệu đặt lịch. Mặc dù plugin có áp dụng hàm sanitize_text_field() cho các trường firstName và lastName của khách hàng (tệp BookingApplicationService.php, các dòng 302-308), nhưng hàm này chỉ loại bỏ các thẻ HTML mà vẫn giữ nguyên các ký tự đặc biệt bao gồm cả dấu ngoặc kép. Lỗ hổng biểu hiện trong chế độ xem lịch quản trị viên, nơi callback eventContent của FullCalendar nội suy trực tiếp tên khách hàng vào các chuỗi mẫu JavaScript (tệp redesign/dist/index.js dòng 199) và hiển thị chúng qua innerHTML mà không có mã hóa thực thể HTML thích hợp. Vì dấu ngoặc kép được giữ nguyên, kẻ tấn công có thể tiêm các payload như '" onmouseover="alert(document.cookie)"' để thoát khỏi thuộc tính title và chèn các trình xử lý sự kiện độc hại. Điều này cho phép những kẻ tấn công chưa xác thực tiêm các tập lệnh web tùy ý sẽ được thực thi khi quản trị viên truy cập trang Lịch và di chuột qua cuộc hẹn độc hại.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.