CVE-2026-111727

WordPress için geliştirilen Appointment Booking Calendar eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 1.4.05 sürümü dahil tüm önceki sürümlerde 'vs_text_submitbtn' parametresi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, abone düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak şekilde sayfalara rastgele web betikleri enjekte etmesini mümkün kılar. Bu işlem, saldırganın takvim sahibi olarak atanmasını gerektirir; bu, herhangi bir yöneticinin eklentinin takvim listesi ekranı aracılığıyla Abone düzeyindeki kullanıcılara kadar genişletebileceği kullanıcı başına verilen bir yetkidir. Abone düzeyinde ve üzeri erişime sahip saldırganlar tarafından istismar edilmesi için, bir yöneticinin eklentinin takvim listesi ekranı üzerinden saldırganın hesabını bir takvimin sahibi (`conwer`) olarak atamış olması gerekir; eklentinin kullanıcı arayüzü rolüne bakılmaksızın tüm kayıtlı kullanıcıları listelediği için bir Abone atanabilir. Bunun yapılandırılmadığı varsayılan kurulumlarda ise zafiyet, editör düzeyinde ve üzeri erişime sahip saldırganlar gerektirir.