Podatności Simply Schedule Appointments

Nieuwierzytelniona podatność SQL Injection w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10.

W wersjach Simply Schedule Appointments do 1.6.9.27 występuje podatność na nieautoryzowaną injekcję SQL.

Nieuwierzytelniony atak CSRF w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.23. Atakujący może wykorzystać podatność do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.10. Atakujący bez logowania może wstrzykiwać złośliwe skrypty.

Wtyczka Simply Schedule Appointments do WordPressa przed wersją 1.6.12.11 nie sprawdza uprawnień w administracyjnym shortcode listy wizyt, a jej filtrowanie wyników na użytkownika zawodzi dla osób niebędących personelem. Pozwala to użytkownikom od roli Współautora w górę na ujawnienie wszystkich rekordów wizyt klientów, w tym nazwisk, adresów e-mail, numerów telefonów i notatek, na całej stronie.

Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.6 nie ogranicza poprawnie operacji masowego przeglądania terminów do rekordów żądającego. Nieuwierzytelnieni użytkownicy mogą pobrać dane osobowe wszystkich terminów w witrynie, a w edycji premium także trwale je usunąć.

Wtyczka Simply Schedule Appointments dla WordPressa we wszystkich wersjach do 1.6.12.2 jest podatna na nieuwierzytelniony trwały Cross-Site Scripting (XSS). Przyczyną jest błąd w kolejności sanityzacji: renderowana treść powiadomienia jest dekodowana z powrotem do żywego HTML po tym, jak przeszła już przez filtr wp_kses_post() w wersjach przed 1.6.12.4, więc podwójnie zakodowany ładunek przetrwa wczytywanie i jest ponownie wprowadzany jako element wykonywalny podczas renderowania.

Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.11.11 włącznie.

Wtyczka Simply Schedule Appointments dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji do 1.6.12.4 włącznie.

Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce Simply Schedule Appointments w wersjach do 1.6.12.2 włącznie.

W aplikacji Simply Schedule Appointments w wersjach poniżej 1.6.11.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.

W wersjach Simply Schedule Appointments do 1.6.10.6 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa do wersji 1.6.11.5 włącznie jest podatna na atak DoS. Publicznie dostępny endpoint REST API (/wp-json/ssa/v1/async) wywołuje funkcję sleep() z parametrem delay bez ograniczeń szybkości, co pozwala niezalogowanym atakującym wyczerpać procesy PHP.

Brak autoryzacji we wtyczce Simply Schedule Appointments umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji do 1.6.10.2 włącznie.

Wtyczka Simply Schedule Appointments dla WordPressa do wersji 1.6.9.27 zawiera podatność na ślepą iniekcję SQL. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie ślepej iniekcji SQL.