Podatności Online Scheduling and Appointment Booking System

Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie zapobiega deserializacji niezaufanych danych wejściowych oraz nie ogranicza prawidłowo uprzywilejowanej funkcji konserwacyjnej do administratorów. Umożliwia to użytkownikom posiadającym niestandardową uprawnienie do zarządzania rezerwacjami (które administrator musi jawnie przypisać) wstrzykiwanie dowolnych obiektów PHP, nadpisywanie uprzywilejowanych opcji witryny oraz odczyt przechowywanych sekretów integracji.

Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie weryfikuje, czy rekordy wizyt i płatności żądane przez akcje AJAX dla roli personelu należą do żądającego członka personelu. Umożliwia to uwierzytelnionym atakującym z kontem na poziomie personelu przeglądanie, modyfikowanie i usuwanie wizyt i płatności innych członków personelu, w tym powiązanych danych osobowych klientów.

Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 28.2 nie weryfikuje, czy żądający jest właścicielem rozmowy z asystentem AI wymienionej w nieuwierzytelnionych akcjach rozmowy. Pozwala to każdemu nieuwierzytelnionemu odwiedzającemu na odczyt wiadomości asystenta innego odwiedzającego oraz wstrzykiwanie wiadomości do trwającej rozmowy.

Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 27.8 nie sanityzuje ani nie odpowiednio rzutuje parametru dostarczonego przez użytkownika z nieuwierzytelnionych żądań rezerwacji przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym atakującym na przeprowadzenie ataków SQL injection i wyodrębnienie wrażliwych danych, takich jak hashe haseł z bazy danych.