CVE-2026-91109 in Simply Schedule Appointments Plugin
Zusammenfassung
von VulDB • 01.10.2026
Das WordPress-Plugin Simply Schedule Appointments ist in allen Versionen bis einschließlich 1.6.12.31 anfällig für Insecure Direct Object Reference (IDOR) aufgrund des Parameters 'complete_group', der auf einer fehlenden Validierung eines benutzerkontrollierten Schlüssel basiert. Dies ermöglicht es authentifizierten Angreifern mit Abonnenten-Level-Zugriff und höher, die privaten id_token jedes Co-Buchers (offengelegt als public_token) zusammen mit deren PII (Name und E-Mail-Adresse) offenzulegen. Anschließend können sie jeden dieser geleakten Token nutzen, um über denselben REST-Controller beliebige Termin-Metadaten des Co-Buchers zu lesen oder zu überschreiben bzw. dessen Termin zu stornieren. Die Ausnutzung erfordert, dass der Angreifer einen gültigen id_token für mindestens einen einzelnen Termin innerhalb der betroffenen Gruppenbuchung besitzt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.