CVE-2026-13358 in Simply Schedule Appointments Plugin
الملخص
بحسب VulDB • 16/08/2026
يحتوي مكون إضافي لـ WordPress يُدعى "The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin" على ثغرة Reference المباشر غير الآمن (Insecure Direct Object Reference) في جميع الإصدارات حتى 1.6.12.10 شاملاً، وذلك عبر المعلمة ssa_past_appointments بسبب عدم وجود تحقق من الصحة على مفتاح يتحكم فيه المستخدم. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مُساهم" (Contributor) فأعلى، من الوصول إلى سجلات المواعيد الخاصة بمستخدمين عشوائيين واستخراج رموز ملكية كل موعد (وهي تجزئات ذات 32 حرفًا) المُضمّنة في HTML المعروض، والتي يمكن استخدامها لاحقًا دون أي مصادقة لقراءة أو تعديل تلك المواعيد، بما في ذلك البيانات الشخصية الحساسة للعملاء مثل الاسم والبريد الإلكتروني ورقم الهاتف والملاحظات الخاصة. يتم تسجيل نقطة نهاية REST `/wp-json/ssa/v1/render-shortcode` بشكل غير مشروط عند تشغيل `rest_api_init` بغض النظر عما إذا كان موضوع Divi مثبتًا أم لا، ولا يتطلب استدعاء التحقق من الصلاحيات سوى أن يكون المستخدم الحالي قادرًا على تحرير المنشورات (`current_user_can('edit_posts')`)، مما يعني أن أي حساب بمستوى "مُساهم" كافٍ لتشغيل سلسلة الاستغلال هذه بالكامل.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.