CVE-2026-120741 Cross-site scripting almacenado no autenticado en MotoPress Appointment Booking vía nombre de cliente
El plugin MotoPress Appointment Booking Lite para WordPress es vulnerable a cross-site scripting almacenado en versiones hasta la 2.4.8 mediante el endpoint REST público '/motopress/appointment/v1/customers/create'. El parámetro 'name' no se sanitiza antes de escribirse en la tabla wp_mpa_customers ni se escapa en el listado de reservas del administrador cuando el usuario no tiene la capacidad 'mpa_edit_customer'. Atacantes no autenticados pueden inyectar scripts que se ejecutan cuando un usuario accede a la…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 19
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
jetmonsters MotoPress Appointment Booking
hasta 2.4.8
Qué hacer
- Verificá si usás MotoPress Appointment Booking y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The MotoPress Appointment Booking Lite plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 2.4.8 via the public '/motopress/appointment/v1/customers/create' REST endpoint. The route is registered with permission_callback => '__return_true' and the handler's 'name' parameter is not sanitized before being written to the custom wp_mpa_customers table via $wpdb->insert, nor is it escaped on output in the admin bookings list when the viewing user lacks the 'mpa_edit_customer' capability (such as the plugin-defined Appointment Employee role). This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Referencias (10)
- www.wordfence.com/threat-intel/vulnerabilities/id/f4e9d051-3379-4f59-9970-c66c44ca2626?so…
- plugins.trac.wordpress.org/browser/motopress-appointment-lite/tags/2.4.8/includes/admin-p…
- plugins.trac.wordpress.org/browser/motopress-appointment-lite/tags/2.4.8/includes/admin-p…
- plugins.trac.wordpress.org/browser/motopress-appointment-lite/tags/2.4.8/includes/rest/co…
- plugins.trac.wordpress.org/browser/motopress-appointment-lite/tags/2.4.8/includes/rest/co…
- plugins.trac.wordpress.org/browser/motopress-appointment-lite/tags/2.4.8/includes/reposit…
- plugins.trac.wordpress.org/browser/motopress-appointment-lite/tags/2.4.8/includes/entitie…
- plugins.trac.wordpress.org/browser/motopress-appointment-lite/tags/2.4.8/includes/handler…
- plugins.trac.wordpress.org/changeset/3782125
- plugins.trac.wordpress.org/changeset/3782125/motopress-appointment-lite/trunk/includes/ad…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.