CVE-2026-13358 in Simply Schedule Appointments Plugin
Сводка
по VulDB • 16.08.2026
Плагин для WordPress Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin содержит уязвимость Insecure Direct Object Reference (Небезопасная прямая ссылка на объект) во всех версиях, начиная с 1.6.12.10 и старше, через параметр ssa_past_appointments из-за отсутствия проверки данных ключа, контролируемого пользователем. Это позволяет атакующим с уровнем доступа «contributor» (соавтор) и выше получать доступ к записям о встречах произвольных пользователей и собирать токены владения для каждой встречи (32-символьные хеши), встроенные в отображаемый HTML, которые затем могут быть использованы без какой-либо аутентификации для чтения или изменения этих встреч, включая полную персональную информацию клиентов (PII), такую как имя, адрес электронной почты, номер телефона и личные заметки. Конечная точка REST /wp-json/ssa/v1/render-shortcode регистрируется безусловно при rest_api_init независимо от того, установлен ли тема Divi, а ее callback для проверки прав требует только current_user_can('edit_posts'), что означает, что учетной записи уровня «Contributor» достаточно для запуска всей этой цепочки эксплуатации.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.