CVE-2026-39495

Podatność na Insecure Direct Object References (IDOR) bez autoryzacji w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.31.

Wtyczka Simply Schedule Appointments w wersji 1.6.12.29 i wcześniejszych zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do funkcji.

Wtyczka Simply Schedule Appointments dla WordPressa jest podatna na lokalne dołączanie plików w wersjach do 1.6.12.27 włącznie przez parametr 'ssa_locale'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP. W praktyce eksploitacja nie wymaga uwierzytelnienia, ponieważ filtr locale jest instalowany bezwarunkowo na każdym żądaniu podczas plugins_loaded, a callback nie wykonuje żadnej kontroli nonce ani uprawnień przed zwróceniem surowej wartości parametru GET.

Nieuwierzytelniona podatność SQL Injection w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10.

W wersjach Simply Schedule Appointments do 1.6.9.27 występuje podatność na nieautoryzowaną injekcję SQL.

Wtyczka Simply Schedule Appointments (do wersji 1.6.12.35) jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany u ofiar.

Wtyczka Simply Schedule Appointments dla WordPressa (wersje do 1.6.12.35 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'status' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Simply Schedule Appointments firmy NSquared zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 1.6.12.35.

Wtyczka Simply Schedule Appointments dla WordPress w wersjach do 1.6.12.32 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'recursive'. Nieuwierzytelnieni atakujący mogą wyodrębnić dane osobowe klientów (imiona, adresy e-mail, numery telefonów, dane z pól formularzy) oraz wartości public_token, co dodatkowo umożliwia usuwanie dowolnych wizyt przez endpoint DELETE /wp-json/ssa/v1/appointments/{id}.

Wtyczka Simply Schedule Appointments dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 1.6.12.31 włącznie, poprzez parametr 'complete_group' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ujawnienie prywatnych tokenów id_token współrezerwujących oraz ich danych osobowych (imię i e-mail), a następnie użycie tych tokenów do odczytu, nadpisania dowolnych metadanych lub anulowania rezerwacji.