CVE-2026-6937
Açıklama
WordPress için Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin eklentisi, 1.6.11.8 ve öncesindeki tüm sürümlerde, eklentinin bulk appointments REST API uç noktası aracılığıyla bir kullanıcının bir eylemi gerçekleştirmeye yetkili olup olmadığını düzgün şekilde doğrulamaması nedeniyle Yetkilendirme Eksikliği zafiyetine sahiptir. Bu durum, kimlik doğrulaması yapılmamış saldırganların müşteri PII'si, ödeme durumu ve toplantı URL'si alanları dahil olmak üzere rastgele randevu kayıtlarını değiştirmesine ve bulk uç noktası yanıtı aracılığıyla mevcut randevu kayıtlarından tam müşteri PII'sini açığa çıkarmasına olanak tanır. Genel nonce, [ssa_booking] kısa kodunu barındıran herhangi bir sayfanın HTML kaynağında bulunan statik ve kullanıcıdan bağımsız bir değerdir; bu da böyle bir sayfayı görüntülemiş herhangi bir ziyaretçinin bunu elde edebileceği ve kimlik doğrulaması olmadan sistemdeki herhangi bir randevuyu hedefleyebileceği anlamına gelir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| croixhaug Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin | v ≤ 1.6.11.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.