Podatności Easy Appointments

Wtyczka Easy Appointments w wersji 3.12.27 i starszych zawiera podatność na nieuwierzytelnione Insecure Direct Object References (IDOR).

W Easy!Appointments w wersji 1.5.2 wykryto podatność nadmiernego ujawniania danych w punkcie końcowym wyszukiwania klientów. Umożliwia ona uwierzytelnionemu użytkownikowi uzyskanie skrótów (hashy) terminów należących do innych użytkowników.

Podatność w Easy!Appointments przed wersją 1.6.0 pozwala zalogowanemu użytkownikowi backendu (admin, provider, secretary) na przejęcie synchronizacji Google innego dostawcy. Atakujący może podmienić token OAuth, co skutkuje przesyłaniem danych klientów (imię, nazwisko, email) do własnego kalendarza Google.

Podatność XSS w Easy!Appointments pozwala administratorowi na przechowywanie złośliwego kodu HTML/JavaScript w polu komunikatu o wyłączonych rezerwacjach. Kod ten jest wyświetlany bez filtrowania na publicznej stronie rezerwacji, atakując każdego niezalogowanego odwiedzającego.

Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Nieprawidłowa walidacja danych wejściowych shortcode w akcji renderowania bloku pozwala użytkownikom z dostępem na poziomie współautora na wykonanie dowolnych zarejestrowanych shortcode'ów.

Wtyczka Easy Appointments dla WordPressa przed wersją 3.12.28 nie wymaga wystarczających uprawnień na jednym z punktów końcowych REST do wyświetlania listy wizyt, ograniczając się tylko do uprawnień, które posiada każdy uwierzytelniony użytkownik, co pozwala użytkownikom z poziomem subskrybenta na odczyt wszystkich rezerwacji na stronie, w tym nazw klientów, harmonogramów i statusów.

Wtyczka Easy Appointments dla WordPressa przed wersją 3.12.28 nie weryfikuje własności ani uprawnień podczas zwracania zapisanych danych klienta, co pozwala użytkownikom z dostępem na poziomie subskrybenta na odczyt danych osobowych dowolnego klienta poprzez iterowanie identyfikatora.

Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Brak sprawdzania uprawnień i nonce w akcji usuwania połączenia pozwala użytkownikom z dostępem na poziomie współautora na usunięcie konfiguracji rezerwacji i wyłączenie systemu rezerwacji.

Podatność w wtyczce Easy Appointments WordPress do wersji 4.0. Brak sprawdzania uprawnień w akcjach zarządzania rezerwacjami, polegający tylko na nonce, pozwala użytkownikom z dostępem na poziomie współautora na odczyt wszystkich szczegółów rezerwacji oraz tworzenie, modyfikowanie i usuwanie rezerwacji.

Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Brak sprawdzania uprawnień i nonce w handlerze listy klientów pozwala uwierzytelnionym użytkownikom z dostępem na poziomie współautora na odczyt danych osobowych wszystkich klientów.

Wtyczka Easy Appointments dla WordPressa przed wersją 3.12.28 nie weryfikuje, czy wizyta, której dotyczy akcja aktualizacji danych klienta, należy do bieżącego użytkownika; akcja sprawdza tylko wspólny nonce, który każdy uwierzytelniony użytkownik może uzyskać z formularza edycji własnej wizyty. Użytkownik na poziomie subskrybenta z własną wizytą może więc użyć tego nonce do nadpisania metadanych klienta (email, imię, telefon, opis) wizyty innego użytkownika. Ponieważ wtyczka traktuje te metadane jako dane kontaktowe wizyty, późniejsza zmiana statusu administratora z włączonymi powiadomieniami dla klienta dostarcza powiadomienie o wizycie ofiary na adres email kontrolowany przez atakującego.

Wtyczka Easy Appointments dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzania uprawnień i braku weryfikacji nonce w akcji AJAX `ea_delete_multiple_connections` we wszystkich wersjach do 3.12.27 włącznie.

Podatność SSRF w Easy!Appointments pozwala zalogowanemu użytkownikowi backendu na dostęp do hostów pętli zwrotnej, RFC1918 i link-local w sieci wdrożenia. Brak walidacji schematu i hosta w parametrze `caldav_url` umożliwia atakującemu wysyłanie żądań REPORT do dowolnych adresów, a odpowiedź jest częściowo ujawniana w komunikacie JSON.

Podatność w Easy!Appointments przed wersją 1.6.0 pozwala uwierzytelnionemu dostawcy na wstrzykiwanie wizyt do harmonogramu innego dostawcy. Endpointy `appointments/store` i `appointments/update` nie weryfikują, czy identyfikator dostawcy należy do bieżącej sesji, co umożliwia naruszenie izolacji dostawców. Dodatkowo, w ścieżce `store` występuje błąd zapisu przed awarią, który utrwala nieautoryzowane dane w bazie.

Easy!Appointments do wersji 1.5.2 włącznie osadza pełny rekord klienta jako JavaScript inline na stronie zmiany terminu bez uwierzytelnienia i bez filtrowania pól. Każdy posiadacz 12-znakowego hasha spotkania może odczytać wszystkie kolumny rekordu klienta z tabeli ea_users.

Wtyczka Easy Appointments dla WordPressa do wersji 3.12.27 włącznie zawiera podatność na ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą anulować wszystkie przyszłe wizyty w całej witrynie, oznaczając je jako porzucone. Nonce wymagane do uwierzytelnienia żądania anulowania jest dostępne na stronie administracyjnej wizyt, która jest chroniona tylko przez uprawnienie edit_posts, co czyni je łatwo dostępnym dla użytkowników o niskich uprawnieniach.

W wersjach Easy Appointments do 3.12.21 występuje nieautoryzowana luka w kontroli dostępu, która może umożliwić atakującym dostęp do zasobów, do których nie powinni mieć dostępu.

W aplikacji Easy!Appointments w wersji 1.5.1 odkryto podatność na wstrzykiwanie SQL przez parametr order_by. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.