CVE-2026-14224

إصدارات المكون الإضافي «Easy Appointments» لـ WordPress الأقدم من 3.12.27

يفشل المكون الإضافي في التحقق مما إذا كان الموعد الذي يتم تحديثه عبر إجراء تحديث بيانات العميل ينتمي إلى المستخدم الذي تمت مصادقته. ويعتمد المكون الإضافي على رقم عشوائي مشترك (رمز فريد يُستخدم لمنع تزوير الطلبات عبر المواقع) يمكن لأي مستخدم تمت مصادقته الحصول عليه من نموذج تعديل الموعد الخاص به. ونتيجة لذلك، يمكن للمستخدم الذي يتمتع بامتيازات على مستوى المشترك إعادة استخدام هذا الرقم العشوائي للكتابة فوق البيانات الوصفية للعميل الخاصة بموعد مستخدم آخر، وتحديدًا المتغيرات email وname وphone وdescription. وإذا قام أحد المسؤولين لاحقًا بتغيير حالة الموعد في حين أن إشعارات العملاء مفعّلة، فسيتم إرسال الإشعار الموجه للضحية إلى عنوان البريد الإلكتروني للمهاجم.

قم بتحديث المكون الإضافي Easy Appointments لـ WordPress إلى الإصدار 3.12.27 أو أحدث.