CVE-2025-13754
Açıklama
Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin for WordPress, 1.6.9.16 sürümüne kadar (bu sürüm dahil) tüm sürümlerde Hassas Bilgi Sızması zafiyetine sahiptir. Bu durum, eklentinin yönetici embed uç noktasını `/wp-json/ssa/v1/embed-inner-admin` kimlik doğrulaması olmadan açığa çıkarmasından kaynaklanmaktadır; bu da personel adları, işletme adları ve rezervasyon formunda herkese açık olarak gösterilmeyen yapılandırma verileri dahil olmak üzere eklenti ayarlarının sızmasına yol açar. Bu, kimliği doğrulanmamış saldırganların özel işletme yapılandırmasını çıkarmasını mümkün kılar. Entegrasyonların yapılandırıldığı premium sürümlerde bu, harici hizmetlere ait API anahtarları dahil olmak üzere diğer hassas verileri de açığa çıkarabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| croixhaug Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin | v ≤ 1.6.9.16 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.