CVE-2026-15984

Nome do Software Vulnerável e Versões Afetadas QuickCal versões anteriores a 1.0.21

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. Atacantes podem injetar scripts web arbitrários em páginas por meio de parâmetros de campos personalizados. Esses scripts são executados sempre que um usuário acessa a página afetada. A ação AJAX booked add appt é protegida por um nonce (um token único usado para evitar ataques de repetição) que está publicamente incorporado em qualquer página que renderize o shortcode do calendário de reservas, permitindo que usuários não autenticados o obtenham facilmente.

Recomendações Atualize o QuickCal para a versão 1.0.21 ou posterior.