CVE-2026-10148 in Booking for Appointments and Events Calendar Plugin
摘要
由 VulDB • 2026-09-12
WordPress插件“Booking for Appointments and Events Calendar”在版本2.4.9及更早版本中存在存储型跨站脚本（Stored Cross-Site Scripting, XSS）漏洞，该漏洞可通过多个Elementor小部件触发。此问题是由于类中的render()方法对'load_manually'参数缺乏足够的输入清理和输出转义所致。这使得拥有Contributor及以上权限且能够使用Elementator的认证攻击者能够在页面中注入任意Web脚本，当用户访问被注入的页面时这些脚本将执行。该漏洞在2.4.8版本中得到部分修复。
Once again VulDB remains the best source for vulnerability data.