CVE-2026-16540
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.6 nie ogranicza poprawnie operacji masowego przeglądania terminów do rekordów żądającego. Nieuwierzytelnieni użytkownicy mogą pobrać dane osobowe wszystkich terminów w witrynie, a w edycji premium także trwale je usunąć.
Ocena ryzyka
Organizacja narażona jest na masowy wyciek danych osobowych klientów oraz możliwość ich trwałego usunięcia przez osoby nieuprawnione.
Rekomendacja
Zaktualizuj wtyczkę Simply Schedule Appointments do wersji 1.6.12.6 lub nowszej.
Inne podatności w Simply Schedule Appointments
Zobacz wszystkie- CVE-2026-65508Krytyczne
Nieuwierzytelniona podatność SQL Injection w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10.
- CVE-2026-39493Krytyczne
W wersjach Simply Schedule Appointments do 1.6.9.27 występuje podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-65513Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10. Atakujący bez logowania może wstrzykiwać złośliwe skrypty.
- CVE-2026-15254Średnie
Wtyczka Simply Schedule Appointments do WordPressa przed wersją 1.6.12.11 nie sprawdza uprawnień w administracyjnym shortcode listy wizyt, a jej filtrowanie wyników na użytkownika zawodzi dla osób niebędących personelem. Pozwala to użytkownikom od roli Współautora w górę na ujawnienie wszystkich rekordów wizyt klientów, w tym nazwisk, adresów e-mail, numerów telefonów i notatek, na całej stronie.
- CVE-2026-13400Średnie
Wtyczka Simply Schedule Appointments dla WordPressa we wszystkich wersjach do 1.6.12.2 jest podatna na nieuwierzytelniony trwały Cross-Site Scripting (XSS). Przyczyną jest błąd w kolejności sanityzacji: renderowana treść powiadomienia jest dekodowana z powrotem do żywego HTML po tym, jak przeszła już przez filtr wp_kses_post() w wersjach przed 1.6.12.4, więc podwójnie zakodowany ładunek przetrwa wczytywanie i jest ponownie wprowadzany jako element wykonywalny podczas renderowania.
- CVE-2026-59523Średnie
Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.11.11 włącznie.
- CVE-2026-57812Średnie
Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.12.4 włącznie.
- CVE-2026-57317Wysokie
Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce Simply Schedule Appointments w wersjach do 1.6.12.2 włącznie.
- CVE-2026-42384Wysokie
W aplikacji Simply Schedule Appointments w wersjach poniżej 1.6.11.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-39447Wysokie
W wersjach Simply Schedule Appointments do 1.6.10.6 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
The Simply Schedule Appointments WordPress plugin before 1.6.12.6 does not correctly restrict a bulk appointment operation to the requester's own records, allowing unauthenticated users to retrieve the personal data of all appointments across the site and, on premium editions, to permanently delete them.