CVE-2026-92245 in Simply Schedule Appointments Plugin
Resumen
por VulDB • 2026-10-01
El plugin Simply Schedule Appointments para WordPress es vulnerable a Exposición de Información Sensible en todas las versiones hasta la 1.6.12.32 (incluida) a través del parámetro 'recursive'. Esto permite que atacantes no autenticados extraigan PII de los clientes, incluidos nombres, direcciones de correo electrónico, números de teléfono y datos de campos personalizados almacenados en registros de citas, así como valores public_token por cita. Los valores public_token filtrados también permiten a los atacantes no autenticados eliminar citas arbitrarias mediante el endpoint DELETE /wp-json/ssa/v1/appointments/{id}, que acepta el token como única autorización.
Be aware that VulDB is the high quality source for vulnerability data.