Hydra Booking WordPress插件存储型XSS漏洞(CVE-2026-15948)安全通告

漏洞概述 漏洞名称: Hydra Booking <= 1.2.2 - Authenticated (Host+) Stored Cross-Site Scripting via 'first_name' Parameter CVE ID: CVE-2026-15948 CVSS评分: 6.4 (Medium) 发布日期: August 14, 2026 最后更新日期: August 15, 2026 研究人员: Wordfence PRISM - Wordfence 影响范围 软件类型: Plugin 软件Slug: hydra-booking (view on wordpress.org) 受影响版本: <= 1.2.2 修复版本: 1.2.3 修复方案 修复方法: 更新到版本 1.2.3 或更高版本。 其他信息 漏洞描述: Hydra Booking — Appointment Scheduling & Booking Calendar 插件在 WordPress 中易受存储型跨站脚本攻击（Stored Cross-Site Scripting），通过 'first_name' 参数。该漏洞存在于所有版本中，包括 1.2.2，由于输入验证和输出转义不足。这使得经过身份验证的攻击者，具有主机级访问权限，可以在用户访问注入页面时执行任意 Web 脚本。第三个，主机级所需的利用此漏洞可以被任何访问者通过插件的公共注册短代码自我分配，使未经验证的用户在完成注册流程时有效利用。 参考链接: - plugins.trac.wordpress.org - plugins.trac.wordpress.org - plugins.trac.wordpress.org 近期相关漏洞 Hydra Booking <= 1.2.1 - Authenticated (Custom+) Insecure Direct Object Reference to Sensitive Information Exposure via booking_id Parameter - CVE ID: CVE-2026-12433 - CVSS评分: 4.3 - 研究人员: Quang - 日期: July 8, 2026 Hydra Booking — Appointment Scheduling & Booking Calendar <= 1.1.44 - Unauthenticated Stored Cross-Site Scripting - CVE ID: CVE-2026-57388 - CVSS评分: 7.2 - 研究人员: Nguyen Dinh Hai (HaHD) - 日期: July 6, 2026 Hydra Booking — Appointment Scheduling & Booking Calendar <= 1.1.41 - Missing Authorization - CVE ID: CVE-2026-42675 - CVSS评分: 5.3 - 研究人员: Raham Adil Arba - 日期: May 15, 2026 Hydra Booking <= 1.1.38 - Authenticated (Host+) Stored Cross-Site Scripting - CVE ID: CVE-2026-39541 - CVSS评分: 6.4 - 研究人员: benztus - 日期: February 15, 2026 Hydra Booking <= 1.1.32 - Unauthenticated Privilege Escalation - CVE ID: CVE-2025-68027 - CVSS评分: 9.8 - 研究人员: daroo - 日期: January 21, 2026 Hydra Booking <= 1.1.32 - Authenticated (Custom role+) SQL Injection - CVE ID: CVE-2025-68055 - CVSS评分: 6.5 - 研究人员: Jarno Vos (janovos) - 日期: November 27, 2025 Hydra Booking — All in One Appointment Booking System - CVE ID: CVE-2025-12788 - CVSS评分: 5.3 - 研究人员: Ahmad Salem (a7mad.co) - 日期: November 10, 2025 Hydra Booking — All in One Appointment Booking System - CVE ID: CVE-2025-12787 - CVSS评分: 5.3 - 研究人员: Ahmad Salem (a7mad.co) - 日期: November 10, 2025 Hydra Booking 1.1.0 - 1.1.18 - Missing Authorization to Authenticated (Subscriber+) Privilege Escalation via the_reset_password_callback Function - CVE ID: CVE-2025-7689 - CVSS评分: 8.8 - 研究人员: kr0d - 日期: July 28, 2025 Hydra Booking <= 1.1.10 - Authenticated (Subscriber+) SQL Injection - CVE ID: CVE-2025-49378 - CVSS评分: 6.5 - 研究人员: Nguyen Ngoc Quang Bach (maybachs) - 日期: June 12, 2025 总结 Hydra Booking 插件在版本 1.2.2 及以下存在存储型跨站脚本漏洞，通过 'first_name' 参数。建议用户更新至版本 1.2.3 或更高版本以修复此漏洞。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Hydra Booking WordPress插件存储型XSS漏洞(CVE-2026-15948)安全通告

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Hydra Booking WordPress插件存储型XSS漏洞(CVE-2026-15948)安全通告

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！