CVE-2026-9188

WordPress üçün Appointment Bookings for Zoom GoogleMeet and more – Wappointment plaqini 2.7.6 daxil olmaqla bütün versiyalarda `appointmentkey` parametri vasitəsilə Təhlükəli Birbaşa Obyekt İstinadına (Insecure Direct Object Reference) həssasdır. Buna səbəb görüşün `edit_key` dəyərinin — `tryCancel()` tərəfindən istifadə olunan yeganə avtorizasiya tokeninin — yalnız `client_id` (ardıcıl tam ədəd), `start_at` (ictimai olaraq müşahidə edilə bilən görüş vaxtı) və `staff_id` (kiçik sadalanabilən tam ədəd) dəyərlərindən gizli duz və ya təsadüfi komponent olmadan proqnozlaşdırıla bilən, duzsuz MD5 heşi kimi yaradılması və autentifikasiyadan keçməmiş ləğvetmə və yenidən planlaşdırma REST endpoint-lərinin bu yenidən qurula bilən açarın uyğunluğundan başqa heç bir sahiblik və ya şəxsiyyət yoxlaması aparmamasıdır. Bu, autentifikasiyadan keçməmiş hücumçulara digər istifadəçilərə məxsus görüşlər üçün etibarlı `edit_key` dəyərlərini hesablamağa və həmin görüşləri özbaşına ləğv etməyə və ya yenidən planlaşdırmağa imkan verir. İstismar saytda `allow_cancellation` və ya `allow_rescheduling` parametrinin aktiv olmasını tələb edir; hər ikisi aktiv rezervasiya tətbiqləri üçün geniş yayılmış konfiqurasiyalardır. Hücumçu qurbanın açarını yenidən qurmaq üçün lazım olan giriş məlumatlarını öz görüşünü rezervasiya edərək ardıcıl `client_id` dəyərini müşahidə etmək və ictimai olaraq görünən görüş vaxtlarını və sadalanabilən işçi identifikatorlarını əlaqələndirməklə əldə edə bilər.