CVE-2026-12111
Açıklama
WordPress için geliştirilen Appointment Booking Calendar eklentisinin 1.4.01 ve önceki sürümleri Hassas Bilgi İfşası zafiyetine sahiptir. Bu durum, wp-admin üzerinde cpabc_calendar_load2=1 sorgu parametresi aracılığıyla erişilebilen cpabc_appointments_calendar_load2() fonksiyonundaki yetersiz yetkilendirme ve takvim bazlı sahiplik kontrollerinin eksikliğinden kaynaklanmaktadır; söz konusu fonksiyon yalnızca Katılımcı (Contributor) seviyesindeki ve üzerindeki kullanıcıların sahip olduğu bir yetenek olan is_admin() && current_user_can('edit_posts') kontrolünü gerçekleştirmektedir. Bu durum, Katılımcı seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, id parametresi üzerinden rastgele bir takvim kimliği sağlayarak eklenti tarafından yönetilen herhangi bir takvimden e-posta adresleri, isimler, telefon numaraları, rezervasyon saatleri ve yorumlar dahil olmak üzere müşteri rezervasyon bilgilerini çıkarmasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| codepeople Appointment Booking Calendar | v ≤ 1.4.01 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.