CVE-2026-4807

WordPress için geliştirilen Appointment Booking Calendar eklentisi, 1.6.10.6 ve önceki sürümlerde Eksik Yetkilendirme zafiyetine sahiptir. Bu durum, nonce_permissions_check() metodundaki hatalı yetkilendirme mantığının, site genelinde yeniden kullanılabilen bir nonce değerinin herkese açık olmasıyla birleşmesinden kaynaklanmaktadır. Eklenti, kimliği doğrulanmamış kullanıcıların erişebildiği /wp-json/ssa/v1/embed-inner uç noktası üzerinden bir public_nonce değeri sunmaktadır. /wp-json/ssa/v1/appointments/{id}/delete ve /wp-json/ssa/v1/appointments/bulk adreslerindeki randevu silme uç noktaları, hem herhangi bir rastgele değer içeren bir X-WP-Nonce başlığı hem de geçerli genel nonce'u içeren bir X-PUBLIC-Nonce başlığı barındıran istekleri kabul eden bir yetki kontrolü kullanmaktadır. X-WP-Nonce doğrulaması başarısız olduğunda, fonksiyon isteği uygun şekilde reddetmeden X-PUBLIC-Nonce'u doğrulamaya yönelmektedir. public_nonce tüm kimliği doğrulanmamış ziyaretçilere açık olduğu ve site genelinde geçerli olduğu (kullanıcıya veya randevuya özel olmadığı) için saldırganlar bu değeri elde ederek public_edit_url dahil olmak üzere rastgele randevuların detaylarını görüntüleyebilir veya ID üzerinden rastgele randevuları silebilirler. Bu durum, kimliği doğrulanmamış saldırganların sistemdeki herhangi bir randevuyu görüntülemesini, silmesini veya değiştirmesini mümkün kılarak hassas randevu verilerinin ifşa olmasına, hizmet kesintisine ve rezervasyon kayıtlarının kaybına yol açmaktadır.