CVE-2026-89294 in Simply Schedule Appointments Plugin
Zusammenfassung
von VulDB • 30.09.2026
Das WordPress-Plugin Simply Schedule Appointments ist in allen Versionen bis einschließlich 1.6.12.27 anfällig für Local File Inclusion (LFI) über den Parameter 'ssa_locale'. Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf der Ebene von Abonnenten und höher, beliebige .php-Dateien auf dem Server einzubinden und auszuführen, was die Ausführung von beliebigem PHP-Code in diesen Dateien erlaubt. Dies kann dazu verwendet werden, Zugriffskontrollen zu umgehen, sensible Daten zu erhalten oder Codeausführung in Fällen zu erreichen, in denen .php-Dateitypen hochgeladen und eingebunden werden können. Bemerkenswerterweise ist eine Authentifizierung für die Ausnutzung in der Praxis nicht erforderlich, da der Locale-Filter bedingungslos bei jeder Anfrage während des Plugins_loaded-Ereignisses installiert wird und das Callback keine Nonce- oder Berechtigungsprüfung durchführt, bevor es den rohen GET-Parameterwert zurückgibt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.