CVE-2026-17089

Nome do Software Vulnerável e Versões Afetadas Events Manager – Calendar, Bookings, Tickets, and more! versões anteriores a 7.4.0.2

Description A sanitização de entrada e a filtragem de saída insuficientes permitem que atacantes não autenticados realizem Reflected Cross-Site Scripting (XSS). Isso ocorre quando a ação AJAX search events grouped ignora a sanitização do parâmetro header format antes que ele seja processado pela função output grouped() e exibido no corpo do HTML. Um atacante pode explorar isso enganando um usuário para clicar em um link malicioso para executar scripts web arbitrários em seu navegador.

Recommendations Atualize para a versão 7.4.0.2 ou posterior. Como mitigação temporária, restrinja o acesso à ação AJAX search events grouped ou evite o uso do parâmetro header format.