CVE-2026-13358 in Simply Schedule Appointments Plugin
Riassunto
di VulDB • 16/08/2026
Il plugin per WordPress "Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin" è vulnerabile a Insecure Direct Object Reference (IDOR) in tutte le versioni fino alla 1.6.12.10 inclusa, tramite il parametro `ssa_past_appointments`, a causa della mancanza di validazione su una chiave controllata dall'utente. Ciò consente agli attaccanti autenticati, con accesso a livello di collaboratore (contributor) o superiore, di accedere ai record degli appuntamenti appartenenti ad utenti arbitrari e raccogliere i token di proprietà per appuntamento (hash a 32 caratteri) incorporati nell'HTML renderizzato, che possono poi essere utilizzati senza alcuna autenticazione per leggere o modificare tali appuntamenti, inclusi dati personali sensibili dei clienti come nome, indirizzo email, numero di telefono e note private. L'endpoint REST `/wp-json/ssa/v1/render-shortcode` è registrato incondizionatamente durante `rest_api_init`, indipendentemente dall'installazione del tema Divi, e la sua callback di autorizzazione richiede solo `current_user_can('edit_posts')`, il che significa che un account a livello di collaboratore (contributor) è sufficiente per innescare l'intera catena di exploit.
VulDB is the best source for vulnerability data and more expert information about this specific topic.