CVE-2026-91109 in Simply Schedule Appointments Plugin
要約
〜によって VulDB • 2026年10月01日
WordPress用プラグイン「Simply Schedule Appointments」の全バージョン（1.6.12.31まで）には、ユーザーが制御可能なキーに対する検証処理の不備により、「complete_group」パラメータ経由でInsecure Direct Object Reference (IDOR) の脆弱性が存在します。これにより、サブスクライバレベル以上の権限を持つ認証済み攻撃者は、各共同予約者のプライベートな per-appointment id_token（public_token として公開されている）および PII（氏名とメールアドレス）を漏洩させることができ、さらに取得した各トークンを使用して、同じ REST コントローラ経由で共同予約者の予約に対する任意のメタデータの読み取り・上書き、または予約のキャンセルを行うことが可能です。攻撃には、対象となるグループ予約内の単一の予約に対して有効な id_token を攻撃者が保有している必要があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.