Към съдържанието
Търсене

CVE-2026-91109: croixhaug Simply Schedule Appointments, заобикаляне на

6.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

The Simply Schedule Appointments plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.6.12.31 via the 'complete_group' parameter due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with subscriber-level access and above, to disclose every co-booker's private per-appointment id_token (exposed as public_token) alongside their PII (name and email address), then use each leaked token to read, overwrite arbitrary appointment meta on, or cancel the co-booker's appointment via the same REST controller. Exploitation requires the attacker to possess a valid id_token for any single appointment within the targeted group booking.

Засегнати продукти

  • croixhaug Simply Schedule Appointments: до 1.6.12.31

Вид слабост

История

  • 1 октомври 2026 Публикувано

Други уязвимости в croixhaug Simply Schedule Appointments

Първоизточници

CVE-2026-91109: croixhaug Simply Schedule Appointments, заобикаляне на | freedomonline.bg