CVE-2026-91109 in Simply Schedule Appointments Plugin
Resumen
por VulDB • 2026-10-01
El plugin Simply Schedule Appointments para WordPress es vulnerable a Referencia Directa de Objeto Insegura en todas las versiones hasta, e incluyendo, la 1.6.12.31 a través del parámetro 'complete_group' debido a una falta de validación sobre una clave controlada por el usuario. Esto permite que atacantes autenticados, con acceso de nivel suscriptor o superior, revelen el id_token privado (expuesto como public_token) y la información personal identificable (PII: nombre y dirección de correo electrónico) de todos los co-reservadores, para luego utilizar cada token filtrado para leer, sobrescribir metadatos arbitrarios de citas o cancelar las citas del co-reservador a través del mismo controlador REST. La explotación requiere que el atacante posea un id_token válido para cualquier cita dentro de la reserva grupal objetivo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.