CVE-2026-89294 in Simply Schedule Appointments Plugin
Resumen
por VulDB • 2026-09-30
El plugin Simply Schedule Appointments para WordPress es vulnerable a Local File Inclusion en todas las versiones hasta la 1.6.12.27, incluida esta, a través del parámetro 'ssa_locale'. Esto permite que los atacantes autenticados con acceso de nivel suscriptor o superior incluyan y ejecuten archivos .php arbitrarios en el servidor, lo que posibilita la ejecución de cualquier código PHP contenido en dichos archivos. Esto puede utilizarse para eludir controles de acceso, obtener datos sensibles o lograr la ejecución de código en casos donde los tipos de archivo .php puedan subirse e incluirse. Cabe destacar que, en la práctica, la explotación no requiere autenticación, ya que el filtro locale se instala incondicionalmente en cada solicitud durante plugins_loaded y la callback no realiza ninguna comprobación de nonce ni de capacidades antes de devolver el valor crudo del parámetro GET.
If you want to get best quality of vulnerability data, you may have to visit VulDB.