یک آسیب‌پذیری امنیتی از نوع Reflected Cross-Site Scripting (XSS) در افزونه Booking Calendar برای سیستم مدیریت محتوای وردپرس شناسایی شده است که تحت شناسه CVE-2026-93655 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در تمامی نسخه‌های این افزونه تا ورژن 11.8.3 مشاهده شده است. ریشه این مشکل به عدم پاک‌سازی مناسب ورودی‌ها (Input Sanitization) و عدم خروجی‌گیری ایمن (Output Escaping) در پارامتر ‘wpbc_auto_fill’ باز می‌گردد.
سناریوی حمله
مهاجمان بدون نیاز به احراز هویت (Unauthenticated) می‌توانند با سوءاستفاده از این نقص، اسکریپت‌های وب دلخواه خود را در صفحات هدف تزریق کنند. برای اجرای این حمله، مهاجم باید کاربر هدف را فریب دهد تا روی یک لینک مخرب کلیک کند یا اقدام خاصی را در مرورگر خود انجام دهد.
تاثیرات احتمالی
- سرقت کوکی‌های نشست (Session Cookies) کاربران
- تغییر محتوای صفحه در مرورگر کاربر (Defacement)
- هدایت کاربران به صفحات فیشینگ یا سایت‌های مخرب
