CVE-2026-96039

Nome do Software Vulnerável e Versões Afetadas BA Book Everything versões anteriores a 1.8.28

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo e executados no navegador de usuários que visitam a página afetada. O problema reside no manipulador action to pay() através do parâmetro first name. Um invasor pode disparar isso ao realizar uma reserva de convidado através do shortcode [babe-booking-form] para obter as credenciais order id, order num e order hash necessárias.

Recomendações Atualize para uma versão posterior à 1.8.27. Como mitigação temporária, restrinja o acesso ao manipulador action to pay() ou evite o uso do parâmetro first name no processo afetado até que a atualização seja aplicada.