CVE-2026-14224

Easy Appointments WordPress eklentisinin 3.12.28 öncesindeki sürümleri, müşteri veri güncelleme işlemi tarafından hedeflenen randevunun mevcut kullanıcıya ait olup olmadığını doğrulamamaktadır; işlem yalnızca kimliği doğrulanmış herhangi bir kullanıcının kendi randevu düzenleme formundan elde edebileceği paylaşılan bir nonce değerini kontrol etmektedir. Bu nedenle, kendi randevusu olan abone düzeyindeki bir kullanıcı, söz konusu nonce değerini başka bir kullanıcının randevusuna ait müşteri meta verilerini (e-posta, isim, telefon, açıklama) üzerine yazmak için yeniden kullanabilir. Easy Appointments WordPress eklentisinin 3.12.28 öncesindeki sürümleri bu meta verileri randevunun iletişim verileri olarak kabul ettiğinden, müşteri bildirimleri etkinleştirilmiş durumdayken yapılan sonraki bir yönetici durum değişikliği, mağdurun randevu bildiriminin saldırgan tarafından kontrol edilen e-posta adresine gönderilmesine neden olur.