CVE-2026-9188

WordPress için geliştirilen Appointment Bookings for Zoom GoogleMeet and more – Wappointment eklentisinin 2.7.6 dahil tüm sürümleri, `appointmentkey` parametresi üzerinden Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum, `tryCancel()` tarafından kullanılan tek yetkilendirme belirteci olan randevu `edit_key` değerinin; gizli bir tuzlama (salt) veya rastgele bileşen olmaksızın yalnızca `client_id` (ardışık bir tam sayı), `start_at` (herkese açık olarak gözlemlenebilen bir randevu zaman damgası) ve `staff_id` (sayılabilir küçük bir tam sayı) kullanılarak tahmin edilebilir, tuzlanmamış bir MD5 özeti şeklinde oluşturulmasından kaynaklanmaktadır. Ayrıca, kimlik doğrulaması gerektirmeyen iptal ve yeniden planlama REST uç noktaları, bu yeniden oluşturulabilir anahtarın eşleşmesi dışında herhangi bir sahiplik veya kimlik doğrulaması gerçekleştirmemektedir. Bu durum, kimliği doğrulanmamış saldırganların diğer kullanıcılara ait randevular için geçerli `edit_key` değerlerini hesaplamasını ve bu randevuları keyfi olarak iptal etmesini veya yeniden planlamasını mümkün kılmaktadır. İstismar için sitede `allow_cancellation` veya `allow_rescheduling` ayarlarının etkinleştirilmiş olması gerekir ki her iki ayar da aktif rezervasyon kurulumları için yaygın yapılandırmalardır; bir saldırgan, kendi randevusunu oluşturarak ardışık `client_id` değerini gözlemleyebilir ve herkese açık randevu saatleri ile sayılabilir personel tanımlayıcılarını ilişkilendirerek kurbanın anahtarını yeniden oluşturmak için gereken girdileri elde edebilir.