CVE-2026-91109

Podatność na Insecure Direct Object References (IDOR) bez autoryzacji w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.31.

Wtyczka Simply Schedule Appointments w wersji 1.6.12.29 i wcześniejszych zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do funkcji.

Wtyczka Simply Schedule Appointments dla WordPressa jest podatna na lokalne dołączanie plików w wersjach do 1.6.12.27 włącznie przez parametr 'ssa_locale'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP. W praktyce eksploitacja nie wymaga uwierzytelnienia, ponieważ filtr locale jest instalowany bezwarunkowo na każdym żądaniu podczas plugins_loaded, a callback nie wykonuje żadnej kontroli nonce ani uprawnień przed zwróceniem surowej wartości parametru GET.

Nieuwierzytelniona podatność SQL Injection w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10.

W wersjach Simply Schedule Appointments do 1.6.9.27 występuje podatność na nieautoryzowaną injekcję SQL.

Wtyczka Simply Schedule Appointments dla WordPress w wersjach do 1.6.12.32 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'recursive'. Nieuwierzytelnieni atakujący mogą wyodrębnić dane osobowe klientów (imiona, adresy e-mail, numery telefonów, dane z pól formularzy) oraz wartości public_token, co dodatkowo umożliwia usuwanie dowolnych wizyt przez endpoint DELETE /wp-json/ssa/v1/appointments/{id}.

Nieuwierzytelniony atak CSRF w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.23. Atakujący może wykorzystać podatność do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10. Atakujący bez logowania może wstrzykiwać złośliwe skrypty.

Wtyczka Simply Schedule Appointments do WordPressa przed wersją 1.6.12.11 nie sprawdza uprawnień w administracyjnym shortcode listy wizyt, a jej filtrowanie wyników na użytkownika zawodzi dla osób niebędących personelem. Pozwala to użytkownikom od roli Współautora w górę na ujawnienie wszystkich rekordów wizyt klientów, w tym nazwisk, adresów e-mail, numerów telefonów i notatek, na całej stronie.

Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.6 nie ogranicza poprawnie operacji masowego przeglądania terminów do rekordów żądającego. Nieuwierzytelnieni użytkownicy mogą pobrać dane osobowe wszystkich terminów w witrynie, a w edycji premium także trwale je usunąć.