CVE-2026-6286

Nome do Software Vulnerável e Versões Afetadas Amelia plugin for WordPress versões anteriores a 2.3

Descrição Ocorre um bypass de autenticação porque a função AddBookingCommand em Command.php ignora a verificação de nonce, permitindo que usuários não autenticados enviem dados de reserva. Embora as variáveis firstName e lastName sejam processadas por sanitize text field(), esta função preserva aspas duplas. Na visualização do Calendário administrativo, o callback eventContent em redesign/dist/index.js interpola esses nomes em literais de modelo JavaScript e os renderiza via innerHTML sem a codificação adequada de entidades HTML. Isso permite que um invasor não autenticado injete scripts web arbitrários através dos campos de nome do cliente, que são executados quando um administrador passa o mouse sobre a reserva maliciosa na página do Calendário.

Recomendações Atualize o plugin para uma versão posterior a 2.2.