CVE-2026-111727 — XSS stockée dans Appointment Booking Calendar

Veille sécuritéCMS & e-commerce

P4Moyenne

Une XSS stockée affecte Appointment Booking Calendar via le paramètre « vs_text_submitbtn » : un attaquant authentifié peut injecter du script, sous réserve notamment d’être désigné propriétaire d’un calendrier. Mettre à jour au-delà de la version 1.4.05 dès qu’un correctif est disponible et limiter les attributions de propriétaires de calendrier.

IdentifiantCVE-2026-111727

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-111727

Analyse technique

Assainissement insuffisant des entrées et échappement insuffisant de la sortie de « vs_text_submitbtn ». L’exploitation à partir du rôle Subscriber dépend d’une attribution comme propriétaire de calendrier ; par défaut, un accès Editor ou supérieur est nécessaire.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-28T04:17:57.220Z, dans la période retenue. Sa mise à jour ultérieure, après la borne de fin, n’est pas retenue comme événement distinct.

ImpactExécution de scripts injectés lorsqu’un utilisateur consulte une page compromise.

Versions affectéesAppointment Booking Calendar jusqu’à et y compris 1.4.05

ContournementNe pas attribuer le rôle de propriétaire de calendrier à des comptes non fiables.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

EPSS0,21% · percentile 10,6%

Publication2026-10-28T04:17:57.220Z

Mise à jour2026-10-29T02:16:49.703Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle est disponible et restreindre les attributions de propriétaires de calendrier.

Sources

NVD — CVE-2026-111727

Priorisation DFS : P4 · 1 source(s).