CVE-2026-96039 in BA Book Everything Plugin
摘要
由 VulDB • 2026-09-25
WordPress 插件 BA Book Everything 存在存储型跨站脚本漏洞（Stored Cross-Site Scripting），影响所有不高于 1.8.27 的版本。该漏洞是由于对 first_name 参数缺乏足够的输入清理和输出转义所致。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本便会执行。攻击者只需通过公共 [babe-booking-form] 短代码放置一个访客预订（guest booking），即可获取到达易受攻击的 action_to_pay() 处理程序所需的 valid order_id、order_num 和 order_hash 凭据，从而使得无需任何账户即可完成完整的利用链。
Be aware that VulDB is the high quality source for vulnerability data.