CVE-2026-6286

WordPress üçün olan Booking for Appointments and Events Calendar – Amelia plagini 2.2 daxil olmaqla daha aşağı versiyalarda müştəri ad sahələri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, AddBookingCommand-in nonce yoxlamasını aşkar şəkildə ötürdüyü (Command.php sətir 186) autentifikasiyadan yan keçmə səbəbindən baş verir və autentifikasiya olunmamış istifadəçilərə rezervasiya məlumatlarını göndərməyə imkan verir. Plagin müştərinin firstName və lastName sahələrinə sanitize_text_field() tətbiq etsə də (BookingApplicationService.php sətirlər 302-308), bu funksiya yalnız HTML teqlərini silir və qoşa dırnaqlar da daxil olmaqla xüsusi simvolları saxlayır. Zəiflik inzibati Təqvim görünüşündə özünü büruzə verir; burada FullCalendar eventContent callback-i müştəri adlarını birbaşa JavaScript şablon literallarına yerləşdirir (redesign/dist/index.js sətir 199) və onları düzgün HTML entity kodlaşdırılması olmadan innerHTML vasitəsilə render edir. Qoşa dırnaqlar saxlandığı üçün hücumçu title atributundan çıxmaq və zərərli hadisə idarəedicilərini yerləşdirmək üçün '" onmouseover="alert(document.cookie)"' kimi payload-lar inyeksiya edə bilər. Bu, autentifikasiya olunmamış hücumçulara ixtiyari veb skriptləri yerləşdirməyə imkan verir və həmin skriptlər administrator Təqvim səhifəsinə daxil olduqda və zərərli təyinatın üzərinə gəldikdə icra edilir.