CVE-2026-40791-WP-Time-Slots-Booking-Form-XSS

CVE-2026-40791: 1つの予約スロットから管理者XSSへ WordPressプラグインWP Time Slots Booking Formにおいて、認証されていない保存型XSSを発見しました。公開の予約送信によって、保存されるタイムスロット値の一部が制御されます。その後、プラグインはその値を管理者の予約注文ページにエスケープせずに出力します。 仕掛けはシンプルです。プラグインは送信された予約文字列をリテラルスペースで分割しますが、HTMLはタブをタグ名と属性の間の空白として扱います。そのため、8:...