CVE-2026-91109 in Simply Schedule Appointments Plugin
Sumário
de VulDB • 01/10/2026
O plugin Simply Schedule Appointments para WordPress é vulnerável a Insecure Direct Object Reference em todas as versões até, e incluindo, 1.6.12.31 através do parâmetro 'complete_group' devido à falta de validação sobre uma chave controlada pelo usuário. Isso permite que atacantes autenticados, com acesso nível assinante ou superior, divulguem o id_token privado (exposto como public_token) e os dados pessoais identificáveis (PII: nome e endereço de email) de todos os co-reservadores, em seguida usem cada token vazado para ler, sobrescrever metadados arbitrários da agenda ou cancelar a reserva do co-reservador através do mesmo controlador REST. A exploração requer que o atacante possua um id_token válido para qualquer única agendamento dentro do grupo de reservas visado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.