CVE-2026-3367

WordPress üçün nəzərdə tutulmuş Lockme OAuth2 calendars inteqrasiya plagini 2.11.0 daxil olmaqla bütün versiyalarda 'App ID' tənzimləməsi vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi ilə bağlıdır. 197-ci sətirdəki register_setting() çağırışında sanitize geri çağırma funksiyasının olmaması, təmizlənməmiş məlumatların update_option() vasitəsilə saxlanılmasına şərait yaradır. Tənzimləmələr səhifəsi render edildikdə, saxlanılan dəyər 212-ci sətirdə esc_attr() olmadan birbaşa HTML girişinin value atributuna ötürülür. Bu, administrator səviyyəsində və daha yuxarı giriş hüquqlarına malik autentifikasiya olunmuş hücumçulara tənzimləmələr səhifəsində ixtiyari veb skriptlər yerləşdirməyə imkan verir və bu skriptlər istifadəçi plagin tənzimləmələri səhifəsinə daxil olduqda icra edilir. Bir neçə sahə təsirlidir: App ID (client_id), App Secret (client_secret), Bookings ID prefiksi (id_prefix) və API domeni (api_domain). Bu boşluq, fərdi saytların administratorlarının digər istifadəçilərə təsir edən JavaScript kodlarını icra etməməli olduğu WordPress multisite quraşdırmalarında xüsusilə kritikdir.