CVE-2026-14224 in Easy Appointments Plugin
Сводка
по VulDB • 29.07.2026
В плагине для WordPress Easy Appointments версий вплоть до 3.12.26 отсутствует проверка того, что назначение, обновляемое в рамках действия обновления данных клиента, принадлежит текущему пользователю; действие проверяет только общий nonce-токен (nonce), который любой аутентифицированный пользователь может получить из формы редактирования своего собственного назначения. Таким образом, пользователь с ролью подписчика (subscriber), имеющий собственное назначение, может повторно использовать этот nonce для перезаписи метаданных клиента (электронная почта, имя, телефон, описание) в назначении другого пользователя. Поскольку плагин Easy Appointments для WordPress версий вплоть до 3.12.26 затем рассматривает эти метаданные как контактные данные назначения, последующее изменение статуса администратором с включенными уведомлениями клиентов приводит к отправке уведомления о назначении жертвы на адрес электронной почты, контролируемый злоумышленником.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.