CVE-2026-1083: Stored XSS w wtyczce Appointment Hour Booking dla WordPress

Co wiadomo

Wtyczka Appointment Hour Booking – Booking Calendar dla WordPress do wersji 1.5.60 jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez niewystarczającą sanitację i eskapowanie danych w polach konfiguracyjnych długości znaków. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas korzystania z interfejsu budowania formularzy.

Wpływ biznesowy

Podatność umożliwia administratorom złośliwe wstrzyknięcie kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji interfejsem lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, co wymaga szczególnej uwagi operatorów środowisk WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć przywrócenie filtracji unfiltered_html, jeśli to możliwe. Priorytetowo traktuj audyt i zabezpieczenie środowisk multisite.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference