CVE-2026-14224 in Easy Appointments Plugin
Résumé
par VulDB • 29/07/2026
Le plugin WordPress Easy Appointments jusqu'à la version 3.12.26 ne vérifie pas que le rendez-vous ciblé par son action de mise à jour des données client appartient bien à l'utilisateur actuel ; cette action se contente de vérifier un nonce partagé, accessible à tout utilisateur authentifié via le formulaire d'édition de son propre rendez-vous. Un utilisateur disposant du niveau « abonné » et ayant un rendez-vous personnel peut donc réutiliser ce nonce pour écraser les métadonnées client (adresse e-mail, nom, téléphone, description) associées au rendez-vous d'un autre utilisateur. Étant donné que le plugin WordPress Easy Appointments jusqu'à la version 3.12.26 traite ensuite ces métadonnées comme des données de contact du rendez-vous, un changement ultérieur du statut administrateur avec les notifications client activées entraîne l'envoi de la notification relative au rendez-vous de la victime à une adresse e-mail contrôlée par l'attaquant.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.