CVE-2026-13358 in Simply Schedule Appointments Plugin
Tóm tắt
Bởi VulDB • 16/08/2026
Plugin WordPress Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin bị lỗ hổng Insecure Direct Object Reference (IDOR) trong tất cả các phiên bản từ 1.6.12.10 trở về trước, thông qua tham số ssa_past_appointments do thiếu cơ chế xác thực trên một khóa được kiểm soát bởi người dùng. Điều này cho phép những kẻ tấn công đã xác thực với quyền mức Contributor (người đóng góp) hoặc cao hơn truy cập vào các bản ghi cuộc hẹn thuộc về bất kỳ người dùng nào và thu thập các token sở hữu theo từng cuộc hẹn (các hash 32 ký tự) được nhúng trong HTML hiển thị, từ đó có thể sử dụng mà không cần xác thực để đọc hoặc sửa đổi các cuộc hẹn này, bao gồm cả thông tin nhận dạng cá nhân (PII) đầy đủ của khách hàng như tên, email, số điện thoại và ghi chú riêng tư. Điểm cuối REST /wp-json/ssa/v1/render-shortcode được đăng ký một cách vô điều kiện trên rest_api_init bất kể theme Divi có được cài đặt hay không, và callback kiểm tra quyền hạn chỉ yêu cầu current_user_can('edit_posts'), nghĩa là tài khoản ở mức Contributor cũng đủ để kích hoạt toàn bộ chuỗi khai thác này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.