CVE-2026-13400
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Simply Schedule Appointments dla WordPressa we wszystkich wersjach do 1.6.12.2 jest podatna na nieuwierzytelniony trwały Cross-Site Scripting (XSS). Przyczyną jest błąd w kolejności sanityzacji: renderowana treść powiadomienia jest dekodowana z powrotem do żywego HTML po tym, jak przeszła już przez filtr wp_kses_post() w wersjach przed 1.6.12.4, więc podwójnie zakodowany ładunek przetrwa wczytywanie i jest ponownie wprowadzany jako element wykonywalny podczas renderowania.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach innych użytkowników, potencjalnie kradnąc sesje lub przekierowując do złośliwych stron.
Rekomendacja
Zaktualizuj wtyczkę Simply Schedule Appointments do wersji 1.6.12.4 lub nowszej.
Inne podatności w Simply Schedule Appointments
Zobacz wszystkie- CVE-2026-65508Krytyczne
Nieuwierzytelniona podatność SQL Injection w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10.
- CVE-2026-39493Krytyczne
W wersjach Simply Schedule Appointments do 1.6.9.27 występuje podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-65513Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10. Atakujący bez logowania może wstrzykiwać złośliwe skrypty.
- CVE-2026-15254Średnie
Wtyczka Simply Schedule Appointments do WordPressa przed wersją 1.6.12.11 nie sprawdza uprawnień w administracyjnym shortcode listy wizyt, a jej filtrowanie wyników na użytkownika zawodzi dla osób niebędących personelem. Pozwala to użytkownikom od roli Współautora w górę na ujawnienie wszystkich rekordów wizyt klientów, w tym nazwisk, adresów e-mail, numerów telefonów i notatek, na całej stronie.
- CVE-2026-16540Wysokie
Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.6 nie ogranicza poprawnie operacji masowego przeglądania terminów do rekordów żądającego. Nieuwierzytelnieni użytkownicy mogą pobrać dane osobowe wszystkich terminów w witrynie, a w edycji premium także trwale je usunąć.
- CVE-2026-59523Średnie
Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.11.11 włącznie.
- CVE-2026-57812Średnie
Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.12.4 włącznie.
- CVE-2026-57317Wysokie
Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce Simply Schedule Appointments w wersjach do 1.6.12.2 włącznie.
- CVE-2026-42384Wysokie
W aplikacji Simply Schedule Appointments w wersjach poniżej 1.6.11.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-39447Wysokie
W wersjach Simply Schedule Appointments do 1.6.10.6 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
Simply Schedule Appointments is vulnerable to unauthenticated Stored Cross-Site Scripting in all versions up to and including 1.6.12.2. The root cause is a sanitization-ordering defect: the rendered notification content is decoded back into live HTML after it has already passed through the Simply Schedule Appointments WordPress plugin before 1.6.12.4's wp_kses_post() filter, so a double-encoded payload survives intake and is reintroduced as an executable element at render time.