CVE-2026-55651

Wtyczka Easy Appointments w wersji 3.12.27 i starszych zawiera podatność na nieuwierzytelnione Insecure Direct Object References (IDOR).

Podatność w Easy!Appointments przed wersją 1.6.0 pozwala zalogowanemu użytkownikowi backendu (admin, provider, secretary) na przejęcie synchronizacji Google innego dostawcy. Atakujący może podmienić token OAuth, co skutkuje przesyłaniem danych klientów (imię, nazwisko, email) do własnego kalendarza Google.

Podatność XSS w Easy!Appointments pozwala administratorowi na przechowywanie złośliwego kodu HTML/JavaScript w polu komunikatu o wyłączonych rezerwacjach. Kod ten jest wyświetlany bez filtrowania na publicznej stronie rezerwacji, atakując każdego niezalogowanego odwiedzającego.

Easy!Appointments do wersji 1.6.0 zawiera podatność obejścia autoryzacji w Booking::register(), która pozwala nieuwierzytelnionym atakującym modyfikować dowolne wizyty, podając identyfikator wizyty bez jej hasha. Atakujący mogą wyliczać kolejne identyfikatory wizyt z samozadeklarowaną flagą manage_mode, aby przepisywać szczegóły wizyt, przypisywać je do kontrolowanych przez siebie klientów oraz uzyskiwać hashe zarządzania do zmiany terminu lub anulowania.

Wtyczka Easy Appointments dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.12.27 włącznie poprzez handle_customers_ajax. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wyciągnięcie pełnego zestawu danych klientów z tabeli ea_customers, w tym danych osobowych takich jak imiona, adresy e-mail, numery telefonów, daty urodzenia i adresy fizyczne.

Wtyczka Easy Appointments dla WordPressa przed wersją 4.0.2.2 nie przeprowadza kontroli własności ani autoryzacji na swoim nieuwierzytelnionym punkcie końcowym rezerwacji wizyt przed zaktualizowaniem istniejącej wizyty identyfikowanej przez identyfikator dostarczony w żądaniu, co pozwala nieuwierzytelnionym atakującym na nadpisywanie, a poprzez późniejsze czyszczenie, usuwanie dowolnych wizyt.

Wtyczka Easy Appointments dla WordPressa przed wersją 4.0.2.2 nie używa nieodgadywalnego tokena do autoryzacji akcji anulowania i potwierdzania wizyt przez link mailowy, wyprowadzając token z zaszytego w kodzie źródłowym saltu i znacznika czasu utworzenia wizyty, więc nieuwierzytelnieni atakujący, którzy znają lub odgadną ten znacznik czasu, mogą anulować lub potwierdzać dowolne wizyty.

Podatność typu DOM-Based Cross Site Scripting (XSS) w wtyczce Easy Appointments w wersjach do 4.0.2.1. Umożliwia atakującemu manipulowanie DOM strony w przeglądarce ofiary, co prowadzi do wykonania złośliwego skryptu.

Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Nieprawidłowa walidacja danych wejściowych shortcode w akcji renderowania bloku pozwala użytkownikom z dostępem na poziomie współautora na wykonanie dowolnych zarejestrowanych shortcode'ów.

Wtyczka Easy Appointments dla WordPressa przed wersją 3.12.28 nie wymaga wystarczających uprawnień na jednym z punktów końcowych REST do wyświetlania listy wizyt, ograniczając się tylko do uprawnień, które posiada każdy uwierzytelniony użytkownik, co pozwala użytkownikom z poziomem subskrybenta na odczyt wszystkich rezerwacji na stronie, w tym nazw klientów, harmonogramów i statusów.