CVE-2026-111727

WordPress üçün olan Appointment Booking Calendar plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 1.4.05 versiyadaxil olmaqla bütün versiyalarda 'vs_text_submitbtn' parametri vasitəsilə Stored Cross-Site Scripting zəifliyinə malikdir. Bu, abunəçi (subscriber) və daha yuxarı səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara səhifələrə ixtiyari veb skriptlər yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Bunun üçün hücumçu təqvim sahibi kimi təyin edilməlidir; bu, hər bir istifadəçiyə verilən icazədir və hər hansı administrator plugins tərəfindən təqvimlərin siyahısı ekranı vasitəsilə bunu Abunəçi səviyyəsində olan istifadəçilərə də tətbiq edə bilər. Abunəçi və daha yuxarı səviyyəli giriş hüququna malik hücumçuların bu zəiflikdən istifadə etməsi üçün administratorun plaginin təqvim siyahısı ekranı vasitəsilə hücumçunun hesabını təqvimin sahibi (`conwer`) kimi təyin etməsi lazımdır; plaginin interfeysi roldan asılı olmayaraq bütün qeydiyyatdan keçmiş istifadəçiləri göstərdiyi üçün Abunəçi də təyin edilə bilər. Bunun konfiqurasiya edilmədiyi standart quraşdırmada isə zəiflik redaktor (editor) və daha yuxarı səviyyəli giriş hüququna malik hücumçuları tələb edir.