CVE-2026-93875

Nome do Software Vulnerável e Versões Afetadas JetAppointment versões anteriores a 2.5.2.2

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro friendlyTime no endpoint jet engine form booking submit. O payload injetado é armazenado na tabela wp jet appointments meta e é executado no navegador do administrador quando o popup de detalhes do agendamento é aberto no painel administrativo do WordPress.

Recomendações Atualize para uma versão posterior à 2.5.2.1. Evite usar o parâmetro friendlyTime no endpoint jet engine form booking submit até que a atualização seja aplicada.