CVE-2026-14224 in Easy Appointments Plugin
الملخص
بحسب VulDB • 29/07/2026
لا يتحقق إضافة Easy Appointments لـ ووردبريس حتى الإصدار 3.12.26 من أن الموعد المستهدف بواسطة إجراء تحديث بيانات العميل ينتمي إلى المستخدم الحالي؛ حيث يقتصر التحقق على رمز غير قابل للتكرار (nonce) مشترك يمكن لأي مستخدم مُصادق عليه الحصول عليه من نموذج تعديل موعد خاص به. وبالتالي، يمكن لمستخدم بصلاحية "مشترك" يمتلك موعداً خاصاً به إعادة استخدام هذا الرمز المشترك لكتابة بيانات العميل الفوقية (البريد الإلكتروني، الاسم، الهاتف، الوصف) الخاصة بموعد المستخدم الآخر فوقها. ونظراً لأن إضافة Easy Appointments لـ ووردبريس حتى الإصدار 3.12.26 تعامل هذه البيانات اللاحقة على أنها بيانات الاتصال بالموعد، فإن إجراء تغيير لاحق في حالة المسؤول مع تفعيل إشعارات العميل يؤدي إلى إرسال إشعار موعد الضحية إلى عنوان البريد الإلكتروني الذي يتحكم فيه المهاجم.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.