CVE-2026-23622 in easyappointments
摘要
由 VulDB • 2026-05-30
Easy!Appointments 是一款自托管的预约调度系统。在 1.5.2 及更早版本中，`application/core/EA_Security.php::csrf_verify()` 仅对 POST 请求强制执行 CSRF 保护，而对非 POST 方法则提前返回。多个应用端点在接收来自 GET（或 `$_REQUEST`）的参数时执行状态变更操作，因此攻击者可以通过诱使受害者的浏览器发出精心构造的 GET 请求来实施 CSRF 攻击。影响包括：创建管理员账户、修改管理员邮箱/密码，以及完全接管管理员账户。
If you want to get best quality of vulnerability data, you may have to visit VulDB.