CVE-2026-89294 in Simply Schedule Appointments Plugin
Résumé
par VulDB • 30/09/2026
Le plugin WordPress Simply Schedule Appointments est vulnérable à une inclusion de fichier local (LFI) dans toutes les versions jusqu'à la 1.6.12.27 incluse, via le paramètre 'ssa_locale'. Cela permet aux attaquants authentifiés disposant d'un accès de niveau abonné ou supérieur d'inclure et d'exécuter des fichiers .php arbitraires sur le serveur, permettant l'exécution de n'importe quel code PHP contenu dans ces fichiers. Cette vulnérabilité peut être exploitée pour contourner les contrôles d'accès, obtenir des données sensibles ou réaliser une exécution de code dans les cas où des fichiers de type .php peuvent être téléchargés et inclus. Il est à noter que l'exploitation ne nécessite pas d'authentification en pratique, car le filtre locale est installé de manière inconditionnelle sur chaque requête lors de l'événement plugins_loaded et la fonction callback effectue aucune vérification de nonce ou de capacité avant de retourner la valeur brute du paramètre GET.
If you want to get best quality of vulnerability data, you may have to visit VulDB.