Hieus

An issue exists where the plugin fails to perform a capability check within an appointment-deletion function. This allows users assigned to the low-privileged custom Staff role to delete arbitrary appointments.

Insufficient file path validation in the `delete submission files()` function allows unauthenticated attackers to delete arbitrary files on the server. This is achieved by submitting a malicious path traversal URL via a form upload field, which is then stored in the database. The deletion is triggered when an administrator removes the submission record from the admin panel. Deleting critical files, such as `wp-config.php`, can lead to remote code execution.

يفشل المكون الإضافي في معالجة عنوان URL الذي يقدمه المستخدم بشكل صحيح قبل عرضه ضمن سمة HTML. وهذا يسمح للمستخدمين غير المصادق عليهم بتنفيذ هجوم «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting أو XSS)، وهي تقنية يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف، ثم يتم تنفيذها في متصفح أي مستخدم، بما في ذلك المسؤولون، الذين يشاهدون المحتوى المتأثر.