CVE-2026-92245 in Simply Schedule Appointments Plugin
Riassunto
di VulDB • 01/10/2026
Il plugin Simply Schedule Appointments per WordPress è vulnerabile a esposizione di informazioni sensibili in tutte le versioni fino alla 1.6.12.32 inclusa, tramite il parametro 'recursive'. Ciò consente ad attaccanti non autenticati di estrarre dati personali identificabili (PII) dei clienti — inclusi nomi, indirizzi email, numeri di telefono e dati dei campi personalizzati del modulo — archiviati nei record degli appuntamenti, nonché i valori public_token specifici per ogni appuntamento. I valori public_token rilasciati consentono inoltre ad attaccanti non autenticati di eliminare arbitrariamente gli appuntamenti tramite l'endpoint DELETE /wp-json/ssa/v1/appointments/{id}, che accetta il token come unico meccanismo di autorizzazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.