CVE-2026-3367

Nome do Software Vulnerável e Versões Afetadas Lockme OAuth2 calendars integration versões anteriores a 2.11.1

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. A função register setting() carece de um callback de sanitização, permitindo que dados não sanitizados sejam armazenados via update option(). Quando a página de configurações é renderizada, os valores armazenados são ecoados diretamente em um atributo de valor de entrada HTML sem o uso de esc attr(). Isso permite que atacantes autenticados com nível de acesso de administrador injetem scripts web arbitrários que serão executados sempre que um usuário acessar a página de configurações do plugin. As variáveis afetadas incluem client id (App ID), client secret (App Secret), id prefix (Bookings ID prefix) e api domain (API domain). Este problema é particularmente crítico em instalações multisite do WordPress, pois pode permitir que administradores de sites executem JavaScript afetando outros usuários.

Recomendações Atualize para uma versão posterior à 2.11.0.