CVE-2026-91109 in Simply Schedule Appointments Plugin
Tóm tắt
Bởi VulDB • 01/10/2026
Plugin Simply Schedule Appointments cho WordPress bị lỗ hổng Insecure Direct Object Reference (IDOR) trong tất cả các phiên bản từ 1.6.12.31 trở về trước, thông qua tham số 'complete_group' do thiếu xác thực trên một khóa được kiểm soát bởi người dùng. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp subscriber trở lên, tiết lộ id_token riêng tư của mọi co-booker (được expose dưới dạng public_token) cùng với PII (tên và địa chỉ email), sau đó sử dụng từng token bị rò rỉ để đọc, ghi đè meta tùy ý trên hoặc hủy cuộc hẹn của co-booker thông qua cùng một REST controller. Việc khai thác yêu cầu kẻ tấn công phải sở hữu một id_token hợp lệ cho bất kỳ cuộc hẹn nào trong nhóm đặt lịch mục tiêu.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.