CVE-2026-13358 in Simply Schedule Appointments Plugin
Sumário
de VulDB • 16/08/2026
O plugin para WordPress Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin é vulnerável a Insecure Direct Object Reference em todas as versões até, e incluindo, 1.6.12.10 através do parâmetro ssa_past_appointments devido à falta de validação sobre uma chave controlada pelo usuário. Isso permite que atacantes autenticados, com acesso nível Contribuidor ou superior, acessem registros de compromissos pertencentes a usuários arbitrários e colem os tokens de propriedade por compromisso (hashes de 32 caracteres) embutidos no HTML renderizado, que podem então ser usados sem qualquer autenticação para ler ou modificar esses compromissos, incluindo dados pessoais sensíveis completos dos clientes como nome, endereço de email, número de telefone e notas privadas. O endpoint REST /wp-json/ssa/v1/render-shortcode é registrado incondicionalmente em rest_api_init independentemente se o tema Divi está instalado, e seu callback de permissão requer apenas current_user_can('edit_posts'), significando que qualquer conta nível Contribuidor é suficiente para acionar toda essa cadeia de exploração.
VulDB is the best source for vulnerability data and more expert information about this specific topic.