CVE-2026-39495
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Simply Schedule Appointments dla WordPressa do wersji 1.6.9.27 zawiera podatność na ślepą iniekcję SQL. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie ślepej iniekcji SQL.
Ocena ryzyka
Atakujący może zdalnie odczytać dane z bazy danych, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Należy zaktualizować wtyczkę Simply Schedule Appointments do najnowszej wersji.
Inne podatności w Simply Schedule Appointments
Zobacz wszystkie- CVE-2026-65508Krytyczne
Nieuwierzytelniona podatność SQL Injection w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10.
- CVE-2026-39493Krytyczne
W wersjach Simply Schedule Appointments do 1.6.9.27 występuje podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-65513Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10. Atakujący bez logowania może wstrzykiwać złośliwe skrypty.
- CVE-2026-15254Średnie
Wtyczka Simply Schedule Appointments do WordPressa przed wersją 1.6.12.11 nie sprawdza uprawnień w administracyjnym shortcode listy wizyt, a jej filtrowanie wyników na użytkownika zawodzi dla osób niebędących personelem. Pozwala to użytkownikom od roli Współautora w górę na ujawnienie wszystkich rekordów wizyt klientów, w tym nazwisk, adresów e-mail, numerów telefonów i notatek, na całej stronie.
- CVE-2026-16540Wysokie
Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.6 nie ogranicza poprawnie operacji masowego przeglądania terminów do rekordów żądającego. Nieuwierzytelnieni użytkownicy mogą pobrać dane osobowe wszystkich terminów w witrynie, a w edycji premium także trwale je usunąć.
- CVE-2026-13400Średnie
Wtyczka Simply Schedule Appointments dla WordPressa we wszystkich wersjach do 1.6.12.2 jest podatna na nieuwierzytelniony trwały Cross-Site Scripting (XSS). Przyczyną jest błąd w kolejności sanityzacji: renderowana treść powiadomienia jest dekodowana z powrotem do żywego HTML po tym, jak przeszła już przez filtr wp_kses_post() w wersjach przed 1.6.12.4, więc podwójnie zakodowany ładunek przetrwa wczytywanie i jest ponownie wprowadzany jako element wykonywalny podczas renderowania.
- CVE-2026-59523Średnie
Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.11.11 włącznie.
- CVE-2026-57812Średnie
Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.12.4 włącznie.
- CVE-2026-57317Wysokie
Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce Simply Schedule Appointments w wersjach do 1.6.12.2 włącznie.
- CVE-2026-42384Wysokie
W aplikacji Simply Schedule Appointments w wersjach poniżej 1.6.11.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in NSquared Simply Schedule Appointments simply-schedule-appointments allows Blind SQL Injection.This issue affects Simply Schedule Appointments: from n/a through <= 1.6.9.27.