CVE-2026-13424

Nome do Software Vulnerável e Versões Afetadas Bookly versões anteriores a 27.8

Description O plugin Online Scheduling and Appointment Booking System – Bookly para WordPress contém um problema de Stored Cross-Site Scripting causado por sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários através da ação AJAX bookly speed up update addons. O payload é armazenado na coluna bookly log.details quando uma requisição é enviada sem uma assinatura válida. O script é executado quando um administrador visualiza a página Diagnostics → Logs.

Recommendations Atualize o plugin para uma versão posterior a 27.7. Como medida de mitigação temporária, restrinja o acesso à página Diagnostics → Logs para minimizar o risco de execução de scripts.