CVE-2026-52841
NiskieCVSS 3.1Streszczenie
Podatność w Easy!Appointments przed wersją 1.6.0 pozwala zalogowanemu użytkownikowi backendu (admin, provider, secretary) na przejęcie synchronizacji Google innego dostawcy. Atakujący może podmienić token OAuth, co skutkuje przesyłaniem danych klientów (imię, nazwisko, email) do własnego kalendarza Google.
Ocena ryzyka
Ryzyko polega na wycieku danych osobowych klientów (imię, nazwisko, email) do nieautoryzowanego kalendarza Google, co narusza poufność i może prowadzić do konsekwencji prawnych związanych z RODO.
Rekomendacja
Należy niezwłocznie zaktualizować Easy!Appointments do wersji 1.6.0 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Easy!Appointments is a self hosted appointment scheduler. In versions prior to 1.6.0, `Google::oauth` at `application/controllers/Google.php:278` stores its URL-supplied `provider_id` in the session, and `oauth_callback` saves the issued Google OAuth token against that row without checking the caller owns the provider. Any logged-in backend user (admin, provider, or secretary) rebinds a peer provider's Google sync to a Google account they control. The peer's appointments then sync into the attacker's calendar with each customer's name and email attached as attendee data. Version 1.6.0 patches the issue.