CVE-2026-19406
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Easy Appointments dla WordPressa przed wersją 4.0.1 nie ogranicza jednego z punktów końcowych REST do rekordów należących do żądającego użytkownika, co pozwala użytkownikom z dostępem na poziomie współautora odczytać wszystkie rezerwacje na stronie, w tym nazwiska klientów, harmonogramy i statusy.
Ocena ryzyka
Ujawnienie danych rezerwacji może naruszyć prywatność klientów i umożliwić ataki socjotechniczne lub konkurencyjne.
Rekomendacja
Zaktualizuj wtyczkę Easy Appointments do wersji 4.0.1 lub nowszej. Ogranicz liczbę kont o podwyższonych uprawnieniach.
Oryginalny opis (angielski, źródło NVD)
The Easy Appointments WordPress plugin before 4.0.1 does not restrict one of its appointment-listing REST endpoints to the records belonging to the requesting user, allowing users with contributor-level access to read all bookings on the site, including customer names, schedules, and statuses.