CVE-2026-91109 in Simply Schedule Appointments Plugin
요약
\~에 의해 VulDB • 2026. 10. 01.
WordPress용 Simply Schedule Appointment 플러그인은 1.6.12.31 버전까지 모든 버전에서 'complete_group' 매개변수를 통해 사용자 제어 키에 대한 검증 누락으로 인해 비정상적 직접 객체 참조(Insecure Direct Object Reference) 취약점이 있습니다. 이로 인해 구독자 레벨 이상의 권한을 가진 인증된 공격자는 모든 공동 예약자의 개인용 per-appointment id_token(공개 토큰인 public_token으로 노출됨)과 그들의 PII(이름 및 이메일 주소)를 유출할 수 있으며, 누설된 각 토큰을 사용하여 동일한 REST 컨트롤러를 통해 공동 예약자의 예약에 대한 임의의 메타데이터 읽기, 덮어쓰기 또는 취소를 수행할 수 있습니다. 공격자가 대상 그룹 예약 내 단일 예약에 대해 유효한 id_token을 보유하고 있어야만 이 취약점을 악용(Exploitation)할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.