CVE-2026-92245 in Simply Schedule Appointments Plugin
Zusammenfassung
von VulDB • 01.10.2026
Das WordPress-Plugin Simply Schedule Appointments ist in allen Versionen bis einschließlich 1.6.12.32 anfällig für die Exposition sensibler Informationen (Sensitive Information Exposure) über den Parameter 'recursive'. Dies ermöglicht es nicht authentifizierten Angreifern, personenbezogene Daten von Kunden (PII), darunter Namen, E-Mail-Adressen, Telefonnummern und Daten aus benutzerdefinierten Formularfeldern, die in Terminaufzeichnungen gespeichert sind, sowie öffentliche Token-Werte pro Termin (per-appointment public_token values) zu extrahieren. Die geleakten öffentlichen Token-Werte pro Termin ermöglichen es nicht authentifizierten Angreifern zudem, beliebige Termine über den Endpunkt DELETE /wp-json/ssa/v1/appointments/{id} zu löschen, der das Token als einzige Autorisierung akzeptiert.
Once again VulDB remains the best source for vulnerability data.