CVE-2026-16541
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.17 nie ogranicza rekordów użytkowników zwracanych przez niektóre swoje punkty końcowe REST do tych, do których żądający ma uprawnienia. Umożliwia to użytkownikom z rolą pracownika o niskich uprawnieniach ujawnienie nazwisk i adresów e-mail dowolnych zarejestrowanych użytkowników.
Ocena ryzyka
Ryzyko naruszenia prywatności użytkowników poprzez ujawnienie ich danych osobowych, co może narazić organizację na odpowiedzialność prawną i utratę zaufania.
Rekomendacja
Zaleca się aktualizację wtyczki Simply Schedule Appointments do wersji 1.6.12.17 lub nowszej oraz przegląd uprawnień ról pracowniczych.
Oryginalny opis (angielski, źródło NVD)
The Simply Schedule Appointments WordPress plugin before 1.6.12.17 does not restrict the user records returned by some of its REST endpoints to those the requester is entitled to see, allowing users with a low-privileged staff role to disclose the names and email addresses of arbitrary registered users.