CVE-2026-7493
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa do wersji 1.6.11.5 włącznie jest podatna na atak DoS. Publicznie dostępny endpoint REST API (/wp-json/ssa/v1/async) wywołuje funkcję sleep() z parametrem delay bez ograniczeń szybkości, co pozwala niezalogowanym atakującym wyczerpać procesy PHP.
Ocena ryzyka
Ryzyko całkowitej odmowy usługi (DoS) dla witryny WordPress, uniemożliwiającej dostęp legalnym użytkownikom.
Rekomendacja
Zaktualizuj wtyczkę Simply Schedule Appointments do najnowszej wersji. Tymczasowo zablokuj dostęp do endpointu /wp-json/ssa/v1/async dla niezalogowanych użytkowników.
Inne podatności w Simply Schedule Appointments
Zobacz wszystkie- CVE-2026-65508Krytyczne
Nieuwierzytelniona podatność SQL Injection w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10.
- CVE-2026-39493Krytyczne
W wersjach Simply Schedule Appointments do 1.6.9.27 występuje podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-65513Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10. Atakujący bez logowania może wstrzykiwać złośliwe skrypty.
- CVE-2026-15254Średnie
Wtyczka Simply Schedule Appointments do WordPressa przed wersją 1.6.12.11 nie sprawdza uprawnień w administracyjnym shortcode listy wizyt, a jej filtrowanie wyników na użytkownika zawodzi dla osób niebędących personelem. Pozwala to użytkownikom od roli Współautora w górę na ujawnienie wszystkich rekordów wizyt klientów, w tym nazwisk, adresów e-mail, numerów telefonów i notatek, na całej stronie.
- CVE-2026-16540Wysokie
Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.6 nie ogranicza poprawnie operacji masowego przeglądania terminów do rekordów żądającego. Nieuwierzytelnieni użytkownicy mogą pobrać dane osobowe wszystkich terminów w witrynie, a w edycji premium także trwale je usunąć.
- CVE-2026-13400Średnie
Wtyczka Simply Schedule Appointments dla WordPressa we wszystkich wersjach do 1.6.12.2 jest podatna na nieuwierzytelniony trwały Cross-Site Scripting (XSS). Przyczyną jest błąd w kolejności sanityzacji: renderowana treść powiadomienia jest dekodowana z powrotem do żywego HTML po tym, jak przeszła już przez filtr wp_kses_post() w wersjach przed 1.6.12.4, więc podwójnie zakodowany ładunek przetrwa wczytywanie i jest ponownie wprowadzany jako element wykonywalny podczas renderowania.
- CVE-2026-59523Średnie
Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.11.11 włącznie.
- CVE-2026-57812Średnie
Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.12.4 włącznie.
- CVE-2026-57317Wysokie
Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce Simply Schedule Appointments w wersjach do 1.6.12.2 włącznie.
- CVE-2026-42384Wysokie
W aplikacji Simply Schedule Appointments w wersjach poniżej 1.6.11.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin plugin for WordPress is vulnerable to denial of service in all versions up to, and including, 1.6.11.5. This is due to a publicly accessible REST API endpoint (/wp-json/ssa/v1/async) that calls PHP's sleep() function on a user-supplied delay parameter without any rate limiting. This makes it possible for unauthenticated attackers to exhaust PHP worker processes, denying access to the site to legitimate users.