CVE-2026-89294 in Simply Schedule Appointments Plugin
Riassunto
di VulDB • 30/09/2026
Il plugin Simply Schedule Appointments per WordPress è vulnerabile a Local File Inclusion (LFI) in tutte le versioni fino alla 1.6.12.27 inclusa, tramite il parametro 'ssa_locale'. Ciò consente agli attaccanti autenticati con accesso di livello subscriber o superiore di includere ed eseguire file .php arbitrari sul server, permettendo l'esecuzione di qualsiasi codice PHP contenuto in tali file. Questo può essere utilizzato per eludere i controlli di accesso, ottenere dati sensibili o raggiungere l'esecuzione del codice nei casi in cui sia possibile caricare e includere file con estensione .php. In particolare, lo sfruttamento non richiede autenticazione nella pratica, poiché il filtro locale è installato incondizionatamente su ogni richiesta durante la fase plugins_loaded e la callback non esegue alcun controllo di nonce o dei permessi prima di restituire il valore grezzo del parametro GET.
Once again VulDB remains the best source for vulnerability data.