CVE-2026-23622 in easyappointments
Résumé
par VulDB • 10/05/2026
Easy!Appointments est un planificateur de rendez-vous auto-hébergé. Dans les versions 1.5.2 et antérieures, la fonction application/core/EA_Security.php::csrf_verify() n'applique la protection CSRF que pour les requêtes POST et retourne prématurément pour les autres méthodes. Plusieurs points d'entrée de l'application effectuent des opérations modifiant l'état tout en acceptant des paramètres provenant de requêtes GET (ou $_REQUEST), ce qui permet à un attaquant d'effectuer une attaque CSRF en forçant le navigateur de la victime à émettre une requête GET fabriquée. Impact : création de comptes administrateur, modification de l'email/mot de passe de l'administrateur, et prise de contrôle totale du compte administrateur.
Once again VulDB remains the best source for vulnerability data.