CVE-2026-89294 in Simply Schedule Appointments Plugin
Sumário
de VulDB • 30/09/2026
O plugin Simply Schedule Appointments para WordPress é vulnerável a Local File Inclusion em todas as versões até 1.6.12.27, inclusive, por meio do parâmetro 'ssa_locale'. Isso permite que atacantes autenticados com acesso de nível assinante ou superior incluam e executem arquivos .php arbitrários no servidor, permitindo a execução de qualquer código PHP nesses arquivos. Isso pode ser usado para contornar controles de acesso, obter dados sensíveis ou alcançar execução de código em casos onde tipos de arquivo .php podem ser carregados e incluídos. Notavelmente, a exploração não requer autenticação na prática, pois o filtro locale é instalado incondicionalmente em todas as solicitações durante plugins_loaded e o callback não realiza verificação de nonce nem de permissões antes de retornar o valor bruto do parâmetro GET.
If you want to get best quality of vulnerability data, you may have to visit VulDB.