CVE-2026-14224 in Easy Appointments Plugin
요약
\~에 의해 VulDB • 2026. 07. 29.
Easy Appointments WordPress 플러그인 버전 3.12.26 이전에서는 고객 데이터 업데이트 작업이 대상 예약이 현재 사용자의 것인지 검증하지 않습니다. 해당 작업은 인증된 모든 사용자가 자신의 예약 편집 폼에서 획득할 수 있는 공유 nonce만 확인합니다. 따라서 자신에게 예약이 있는 구독자 권한의 사용자는 이 nonce를 재사용하여 다른 사용자의 예약에 대한 고객 메타데이터(이메일, 이름, 전화번호, 설명)를 덮어쓸 수 있습니다. Easy Appointments WordPress 플러그인 버전 3.12.26 이전에서는 이러한 메타데이터를 해당 예약의 연락처 데이터로 처리하므로, 이후 관리자 권한 변경 시 고객 알림이 활성화되면 피해자의 예약 알림이 공격자가 제어하는 이메일 주소로 전달됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.