CVE-2026-105258— LatePoint < 5.7.6 预约表单设置存储型 XSS 漏洞
一分钟漏洞结论
影响对象
Unknown Appointment Booking Plugin
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在版本 5.7.6 之前的 WordPress 插件"Appointment Booking Plugin"中，多个预约表单步骤的内容设置在渲染到公开预约表单之前未进行转义处理。这允许高权限用户（如管理员）注入 JavaScript 代码，该代码会在任何访问该表单的访客浏览器中执行；在 multisite（多站点）环境中，若管理员不具备 权限，则此漏洞可突破权限边界，使未认证的访客也能执行注入的脚本。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-105258 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
LatePoint < 5.7.6 - Admin+ Stored XSS via Booking Form Step Settings
来源: CVE Program / CVE List V5
Vulnerability Description
The Appointment Booking Plugin WordPress plugin before 5.7.6 does not escape several booking-form step content settings before rendering them on the public booking form, allowing high-privilege users such as administrators to inject JavaScript that executes in the browser of any visitor who loads the form; on multisite, where administrators do not hold the unfiltered_html capability, this crosses a privilege boundary to unauthenticated visitors.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | Appointment Booking Plugin | 0 ~ 5.7.6 | - |
|
二、漏洞 CVE-2026-105258 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-105258 的情报信息
请登录查看更多情报信息。
同批安全公告 · Unknown · 2026-10-29 · 共 28 条
| CVE-2026-115303 | 3.7 LOW | Contact Form by Supsystic < 1.11.1 远程代码注入漏洞 |
| CVE-2024-3586 | LetterPress < 2.4.0 管理员存储型 XSS 漏洞 | |
| CVE-2026-115282 | Recipe Card Blocks Lite 2.6.4-3.6.3 未认证未发布内容披露漏洞 | |
| CVE-2026-115302 | Supsystic 联系表单 1.11.1 前未授权统计删除漏洞 | |
| CVE-2026-115301 | Supsystic 联系表单<1.11.1 管理员 SSTI 漏洞 | |
| CVE-2026-115299 | Supsys Contact Form 1.11.1 跨站请求伪造漏洞 | |
| CVE-2026-115300 | Supsystic 联系表单<1.11.1 跨站请求伪造漏洞 | |
| CVE-2026-88928 | PAYCOMET 5.36-5.45 签名绕过导致支付令牌覆盖漏洞 | |
| CVE-2026-78395 | Link Library 7.10.0 未授权登录绕过漏洞 | |
| CVE-2026-78396 | Link Library 7.10.0 未认证信息泄露漏洞 | |
| CVE-2026-89216 | vTables 0.3 以下 orderby 参数未认证 SQL 注入漏洞 | |
| CVE-2026-108763 | WooCommerce 钱包系统 2.8.2 以下 IDOR 文件覆盖漏洞 | |
| CVE-2026-108686 | WP Post Author <4.2.0 未认证 reCAPTCHA 密钥泄露漏洞 | |
| CVE-2026-108685 | WP Post Author 4.2.0 未授权用户资料修改漏洞 | |
| CVE-2026-103693 | Frontend Dashboard 3.0.5 未授权 PHP 对象注入漏洞 | |
| CVE-2026-110504 | Enable SVG, WebP, and ICO Upload 1.1.5 存储型 XSS 漏洞 | |
| CVE-2026-110030 | Hide Price Until Login < 1.1.2 未认证账户创建漏洞 | |
| CVE-2026-110983 | WP Photo Album Plus 跨站请求伪造漏洞 | |
| CVE-2026-110505 | Enable SVG 1.1.6 存储型 XSS 漏洞 | |
| CVE-2026-113616 | LogixFast Auth <1.0.4 密码重置未授权接管漏洞 |
显示前 20 条，共 28 条。 查看全部 → →