CVE-2026-14224 in Easy Appointments Plugin
要約
〜によって VulDB • 2026年07月29日
Easy Appointments WordPress プラグインのバージョン 3.12.26 では、顧客データ更新アクションの対象となる予約が現在のユーザーのものかどうかを検証しません。このアクションは、認証済みユーザーであれば誰でも自分の予約編集フォームから取得できる共有 nonce のみをチェックします。そのため、独自の予約を持つサブスクライバー権限のユーザーは、その nonce を再利用して他のユーザーの予約の顧客メタデータ（メール、名前、電話番号、説明）を上書きできます。Easy Appointments WordPress プラグイン バージョン 3.12.26 はその後、このメタデータを予約の連絡先データとして扱うため、顧客通知が有効な状態で管理者権限の変更を行うと、被害者の予約通知が攻撃者が制御するメールアドレスに送信されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.