CVE-2026-52837
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Easy!Appointments do wersji 1.5.2 włącznie osadza pełny rekord klienta jako JavaScript inline na stronie zmiany terminu bez uwierzytelnienia i bez filtrowania pól. Każdy posiadacz 12-znakowego hasha spotkania może odczytać wszystkie kolumny rekordu klienta z tabeli ea_users.
Ocena ryzyka
Ryzyko wycieku wrażliwych danych klientów, w tym danych osobowych, poprzez dostęp do hasha spotkania.
Rekomendacja
Zaktualizuj Easy!Appointments do wersji 1.6.0 lub nowszej.
Inne podatności w Easy!Appointments
Zobacz wszystkie- CVE-2026-61946Średnie
Wtyczka Easy Appointments w wersji 3.12.27 i starszych zawiera podatność na nieuwierzytelnione Insecure Direct Object References (IDOR).
- CVE-2026-55651Wysokie
W Easy!Appointments w wersji 1.5.2 wykryto podatność nadmiernego ujawniania danych w punkcie końcowym wyszukiwania klientów. Umożliwia ona uwierzytelnionemu użytkownikowi uzyskanie skrótów (hashy) terminów należących do innych użytkowników.
- CVE-2026-52841Niskie
Podatność w Easy!Appointments przed wersją 1.6.0 pozwala zalogowanemu użytkownikowi backendu (admin, provider, secretary) na przejęcie synchronizacji Google innego dostawcy. Atakujący może podmienić token OAuth, co skutkuje przesyłaniem danych klientów (imię, nazwisko, email) do własnego kalendarza Google.
- CVE-2026-52838Niskie
Podatność XSS w Easy!Appointments pozwala administratorowi na przechowywanie złośliwego kodu HTML/JavaScript w polu komunikatu o wyłączonych rezerwacjach. Kod ten jest wyświetlany bez filtrowania na publicznej stronie rezerwacji, atakując każdego niezalogowanego odwiedzającego.
- CVE-2026-14225Niskie
Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Nieprawidłowa walidacja danych wejściowych shortcode w akcji renderowania bloku pozwala użytkownikom z dostępem na poziomie współautora na wykonanie dowolnych zarejestrowanych shortcode'ów.
- CVE-2026-14226Średnie
Wtyczka Easy Appointments dla WordPressa przed wersją 3.12.28 nie wymaga wystarczających uprawnień na jednym z punktów końcowych REST do wyświetlania listy wizyt, ograniczając się tylko do uprawnień, które posiada każdy uwierzytelniony użytkownik, co pozwala użytkownikom z poziomem subskrybenta na odczyt wszystkich rezerwacji na stronie, w tym nazw klientów, harmonogramów i statusów.
- CVE-2026-14223Średnie
Wtyczka Easy Appointments dla WordPressa przed wersją 3.12.28 nie weryfikuje własności ani uprawnień podczas zwracania zapisanych danych klienta, co pozwala użytkownikom z dostępem na poziomie subskrybenta na odczyt danych osobowych dowolnego klienta poprzez iterowanie identyfikatora.
- CVE-2026-14222Niskie
Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Brak sprawdzania uprawnień i nonce w akcji usuwania połączenia pozwala użytkownikom z dostępem na poziomie współautora na usunięcie konfiguracji rezerwacji i wyłączenie systemu rezerwacji.
- CVE-2026-14221Niskie
Podatność w wtyczce Easy Appointments WordPress do wersji 4.0. Brak sprawdzania uprawnień w akcjach zarządzania rezerwacjami, polegający tylko na nonce, pozwala użytkownikom z dostępem na poziomie współautora na odczyt wszystkich szczegółów rezerwacji oraz tworzenie, modyfikowanie i usuwanie rezerwacji.
- CVE-2026-14188Niskie
Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Brak sprawdzania uprawnień i nonce w handlerze listy klientów pozwala uwierzytelnionym użytkownikom z dostępem na poziomie współautora na odczyt danych osobowych wszystkich klientów.
Oryginalny opis (angielski, źródło NVD)
Easy!Appointments is a self hosted appointment scheduler. In versions up to and including 1.5.2, the booking reschedule view at `/index.php/booking/reschedule/{appointment_hash}` (handled by `Booking::index()`) embeds the entire customer record as inline JavaScript (`const vars = {... "customer_data": {...}, ...}`) without authentication and without field whitelisting. Anyone in possession of the 12-character `appointment_hash` — which appears in plain text in reschedule emails, confirmation page URLs, and operator-side calendar links — can read every column of that customer's row in the `ea_users` table. Version 1.6.0 contains a patch.