CVE-2026-14224 in Easy Appointments Plugin
Riassunto
di VulDB • 29/07/2026
Il plugin WordPress Easy Appointments fino alla versione 3.12.26 non verifica che l'appuntamento oggetto della sua azione di aggiornamento dei dati del cliente appartenga all'utente corrente; l'azione controlla solo un nonce condiviso, ottenibile da qualsiasi utente autenticato dal modulo di modifica del proprio appuntamento. Un utente con livello "subscriber" (abbonato) dotato di un proprio appuntamento può quindi riutilizzare tale nonce per sovrascrivere i metadati del cliente (email, nome, telefono, descrizione) dell'appuntamento di un altro utente. Poiché il plugin WordPress Easy Appointments fino alla versione 3.12.26 tratta successivamente tali metadati come dati di contatto dell'appuntamento, una successiva modifica dello stato amministrativo con le notifiche al cliente abilitate invia la notifica dell'appuntamento della vittima all'indirizzo email controllato dall'attaccante.
If you want to get best quality of vulnerability data, you may have to visit VulDB.