Podatności Simply Schedule Appointments

Podatność na Insecure Direct Object References (IDOR) bez autoryzacji w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.31.

Wtyczka Simply Schedule Appointments w wersji 1.6.12.29 i wcześniejszych zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do funkcji.

Wtyczka Simply Schedule Appointments dla WordPressa jest podatna na lokalne dołączanie plików w wersjach do 1.6.12.27 włącznie przez parametr 'ssa_locale'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP. W praktyce eksploitacja nie wymaga uwierzytelnienia, ponieważ filtr locale jest instalowany bezwarunkowo na każdym żądaniu podczas plugins_loaded, a callback nie wykonuje żadnej kontroli nonce ani uprawnień przed zwróceniem surowej wartości parametru GET.

Nieuwierzytelniona podatność SQL Injection w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10.

W wersjach Simply Schedule Appointments do 1.6.9.27 występuje podatność na nieautoryzowaną injekcję SQL.

Wtyczka Simply Schedule Appointments (do wersji 1.6.12.35) jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany u ofiar.

Wtyczka Simply Schedule Appointments dla WordPressa (wersje do 1.6.12.35 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'status' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Simply Schedule Appointments firmy NSquared zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 1.6.12.35.

Wtyczka Simply Schedule Appointments dla WordPress w wersjach do 1.6.12.32 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'recursive'. Nieuwierzytelnieni atakujący mogą wyodrębnić dane osobowe klientów (imiona, adresy e-mail, numery telefonów, dane z pól formularzy) oraz wartości public_token, co dodatkowo umożliwia usuwanie dowolnych wizyt przez endpoint DELETE /wp-json/ssa/v1/appointments/{id}.

Wtyczka Simply Schedule Appointments dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 1.6.12.31 włącznie, poprzez parametr 'complete_group' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ujawnienie prywatnych tokenów id_token współrezerwujących oraz ich danych osobowych (imię i e-mail), a następnie użycie tych tokenów do odczytu, nadpisania dowolnych metadanych lub anulowania rezerwacji.

Nieuwierzytelniony atak CSRF w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.23. Atakujący może wykorzystać podatność do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10. Atakujący bez logowania może wstrzykiwać złośliwe skrypty.

Wtyczka Simply Schedule Appointments do WordPressa przed wersją 1.6.12.11 nie sprawdza uprawnień w administracyjnym shortcode listy wizyt, a jej filtrowanie wyników na użytkownika zawodzi dla osób niebędących personelem. Pozwala to użytkownikom od roli Współautora w górę na ujawnienie wszystkich rekordów wizyt klientów, w tym nazwisk, adresów e-mail, numerów telefonów i notatek, na całej stronie.

Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.6 nie ogranicza poprawnie operacji masowego przeglądania terminów do rekordów żądającego. Nieuwierzytelnieni użytkownicy mogą pobrać dane osobowe wszystkich terminów w witrynie, a w edycji premium także trwale je usunąć.

Wtyczka Simply Schedule Appointments dla WordPressa we wszystkich wersjach do 1.6.12.2 jest podatna na nieuwierzytelniony trwały Cross-Site Scripting (XSS). Przyczyną jest błąd w kolejności sanityzacji: renderowana treść powiadomienia jest dekodowana z powrotem do żywego HTML po tym, jak przeszła już przez filtr wp_kses_post() w wersjach przed 1.6.12.4, więc podwójnie zakodowany ładunek przetrwa wczytywanie i jest ponownie wprowadzany jako element wykonywalny podczas renderowania.

Podatność polegająca na braku autoryzacji w wtyczce Simply Schedule Appointments dla WordPressa, umożliwiająca wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.12.4 włącznie.

Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce Simply Schedule Appointments w wersjach do 1.6.12.2 włącznie.

W aplikacji Simply Schedule Appointments w wersjach poniżej 1.6.11.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.

W wersjach Simply Schedule Appointments do 1.6.10.6 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa do wersji 1.6.11.5 włącznie jest podatna na atak DoS. Publicznie dostępny endpoint REST API (/wp-json/ssa/v1/async) wywołuje funkcję sleep() z parametrem delay bez ograniczeń szybkości, co pozwala niezalogowanym atakującym wyczerpać procesy PHP.

Brak autoryzacji we wtyczce Simply Schedule Appointments umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji do 1.6.10.2 włącznie.

Wtyczka Simply Schedule Appointments dla WordPressa do wersji 1.6.9.27 zawiera podatność na ślepą iniekcję SQL. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie ślepej iniekcji SQL.