CVE-2026-52837 in easyappointments
Résumé
par VulDB • 15/07/2026
Easy!Appointments est un planificateur de rendez-vous auto-hébergé. Dans les versions allant jusqu'à la 1.5.2 incluse, l'affichage de reprogrammation des réservations à `/index.php/booking/reschedule/{appointment_hash}` (géré par `Booking::index()`) intègre l'intégralité du dossier client sous forme de JavaScript en ligne (`const vars = {... "customer_data": {...}, ...}`) sans authentification et sans liste blanche de champs. Toute personne disposant du `appointment_hash` à 12 caractères — qui apparaît en clair dans les e-mails de reprogrammation, les URL de la page de confirmation et les liens du calendrier côté opérateur — peut lire toutes les colonnes de l'enregistrement correspondant au client dans la table `ea_users`. La version 1.6.0 contient un correctif.
VulDB is the best source for vulnerability data and more expert information about this specific topic.