CVE-2026-6937
Təsvir
WordPress üçün olan Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin plagini, bütün versiyalarda (1.6.11.8 daxil olmaqla) səlahiyyətləndirmənin çatışmazlığına (Missing Authorization) qarşı həssasdır. Bu, plaginin bulk appointments REST API son nöqtəsi vasitəsilə hər hansı bir hərəkətin yerinə yetirilməsi üçün istifadəçinin səlahiyyətli olduğunu düzgün şəkildə yoxlamamasından qaynaqlanır. Bu, autentifikasiya olunmamış hücumçulara müştəri şəxsi məlumatları (PII), ödəniş statusu və görüş URL sahələri də daxil olmaqla, ixtiyari təyinat qeydlərini dəyişdirməyə və bulk son nöqtəsinin cavabı vasitəsilə mövcud təyinat qeydlərindən tam müştəri PII məlumatlarını əldə etməyə imkan verir. İctimai nonce, [ssa_booking] shortcode-nu ehtiva edən hər hansı səhifənin HTML mənbəyində mövcud olan statik, istifadəçidən asılı olmayan dəyərdir; bu o deməkdir ki, belə bir səhifəniziarət edən hər hansı bir şəxs onu əldə edə bilər və autentifikasiyasız sistemdəki hər hansı bir təyinata hədəf ala bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| croixhaug Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin | v ≤ 1.6.11.8 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.