Към съдържанието
Търсене

CVE-2026-1704: croixhaug Appointment Booking Calendar — Simply

4.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.6.9.29. This is due to the `get_item_permissions_check` method granting access to users with the `ssa_manage_appointments` capability without validating staff ownership of the requested appointment. This makes it possible for authenticated attackers, with custom-level access and above (users granted the ssa_manage_appointments capability, such as Team Members), to view appointment records belonging to other staff members and access sensitive customer personally identifiable information via the appointment ID parameter.

Засегнати продукти

  • croixhaug Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin: до 1.6.9.29

Вид слабост

История

  • 13 март 2026 Публикувано

Други уязвимости в croixhaug Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin

Първоизточници

CVE-2026-1704: croixhaug Appointment Booking Calendar — Simply | freedomonline.bg