CVE-2026-91109 in Simply Schedule Appointments Plugin
الملخص
بحسب VulDB • 01/10/2026
يحتوي مكون WordPress Simply Schedule Appointments على ثغرة Reference المباشر غير الآمن (Insecure Direct Object Reference) في جميع الإصدارات حتى 1.6.12.31 شاملاً، وذلك عبر المعلمة 'complete_group' بسبب نقص التحقق من صحة مفتاح يتحكم فيه المستخدم. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستبدي المشترك (subscriber-level access) وما فوقه، من الكشف عن كل رمز id_token الخاص لكل شخص مشترك في الحجز (يُعرض كـ public_token)، بالإضافة إلى بياناتهم الشخصية (الاسم وعنوان البريد الإلكتروني)، ثم استخدام كل رمز مسرب لقراءة أو الكتابة بشكل تعسفي على البيانات الوصفية للحجوزات الخاصة بالشخص المشترك، أو إلغاء حجزه عبر نفس وحدة التحكم REST. تتطلب الاستغلال أن يمتلك المهاجم رمز id_token صالحاً لحجز واحد ضمن مجموعة الحجوزات المستهدفة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.