CVE-2026-14224 in Easy Appointments Plugin
Zusammenfassung
von VulDB • 29.07.2026
Das WordPress-Plugin „Easy Appointments“ bis zur Version 3.12.26 überprüft nicht, ob der Termin, auf den sich seine Aktion zum Aktualisieren von Kundendaten bezieht, dem aktuellen Benutzer gehört; die Aktion prüft lediglich einen gemeinsamen Nonce (nonce), den jeder authentifizierte Benutzer aus dem Bearbeitungsformular seines eigenen Termins erhalten kann. Ein Benutzer mit Subscriber-Rolle, der über einen eigenen Termin verfügt, kann diesen Nonce daher wiederverwenden, um die Kundenmetadaten (E-Mail-Adresse, Name, Telefonnummer, Beschreibung) des Termins eines anderen Benutzers zu überschreiben. Da das WordPress-Plugin „Easy Appointments“ bis zur Version 3.12.26 diese Metadaten anschließend als Kontaktdaten für den Termin behandelt, wird bei einer nachfolgenden Änderung der Administratorrolle mit aktivierten Kundenbenachrichtigungen die Terminbenachrichtigung des Opfers an die vom Angreifer kontrollierte E-Mail-Adresse gesendet.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.