CVE-2026-12113

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa jest podatna na nieprawidłową autoryzację we wszystkich wersjach do 1.6.11.11 włącznie, z powodu punktu końcowego REST API do aktualizacji rezerwacji, który nie ogranicza, które pola mogą być modyfikowane przez klientów uwierzytelnionych tokenem. Umożliwia to nieuwierzytelnionym atakującym modyfikację pól kontrolowanych przez administratora w rezerwacji, w tym fałszowanie potwierdzenia płatności, przypisanie rezerwacji do innego użytkownika oraz zmianę typu usługi.

Wtyczka Appointment Booking Calendar dla WordPressa do wersji 1.6.12.10 włącznie jest podatna na Insecure Direct Object Reference przez parametr ssa_past_appointments z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą uzyskać dostęp do rekordów wizyt innych użytkowników, w tym tokenów własności (32-znakowe hashe) i pełnych danych osobowych (PII). Endpoint REST jest zarejestrowany bezwarunkowo i wymaga tylko uprawnień edit_posts.

Wtyczka Appointment Booking Calendar for WordPress (wersje do 1.3.96 włącznie) jest podatna na brak autoryzacji, ponieważ udostępnia nieuwierzytelniony punkt końcowy przetwarzania rezerwacji (cpabc_appointments_check_IPN_verification), który ufa powiadomieniom o płatnościach dostarczonym przez atakującego bez weryfikacji ich pochodzenia i autentyczności. Nieuwierzytelnieni atakujący mogą dowolnie potwierdzać rezerwacje i wstawiać je do kalendarza za pomocą parametru 'cpabc_ipncheck', wywołując powiadomienia e-mail i zakłócając działanie.

Wtyczka Appointment Booking Calendar zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.3.95 włącznie.