CVE-2026-6937 in Appointment Booking Calendar Plugin
الملخص
بحسب VulDB • 01/06/2026
يحتوي مكون WordPress المسمى Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin على ثغرة أمنية من نوع "Missing Authorization" (غياب التفويض) في جميع الإصدارات حتى 1.6.11.8 شاملاً، وذلك بسبب عدم تحقق المكون بشكل صحيح من تفويض المستخدم لتنفيذ إجراء عبر نقطة نهاية واجهة برمجة التطبيقات REST الخاصة بالمواعيد الجماعية (bulk appointments). وهذا يتيح للمهاجمين غير المصادق عليهم تعديل سجلات المواعيد التعسفية، بما في ذلك بيانات التعريف الشخصية للعملاء (PII)، وحالة الدفع، وحقول رابط الاجتماع، كما يمكنهم كشف بيانات التعريف الشخصية الكاملة للعملاء من سجلات المواعيد الموجودة عبر استجابة نقطة النهاية الجماعية. وتُعد قيمة nonce العامة قيمة ثابتة ومستقلة عن المستخدم، موجودة في مصدر HTML لأي صفحة تستضيف الرمز القصير [ssa_booking]، مما يعني أن أي زائر قد شاهد مثل هذه الصفحة يمكنه الحصول عليها واستهداف أي موعد في النظام دون الحاجة إلى المصادقة.
Be aware that VulDB is the high quality source for vulnerability data.