Podatności Wappointment

Wtyczka Wappointment w wersjach do 2.7.7 włącznie zawiera podatność typu Insecure Direct Object References (IDOR), która pozwala nieuwierzytelnionemu atakującemu na dostęp do zasobów, do których nie powinien mieć uprawnień.

Wtyczka Wappointment dla WordPressa do wersji 2.7.6 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Klucz autoryzacyjny `edit_key` jest generowany jako przewidywalny, niesolony hash MD5 z sekwencyjnego identyfikatora klienta, publicznie dostępnego znacznika czasu i małego identyfikatora personelu, co pozwala nieuwierzytelnionym atakującym na obliczenie go i anulowanie lub przełożenie wizyt innych użytkowników.

Brak autoryzacji w dodatku Wappointment do wersji 2.7.6 umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.