PT-2026-73084
CVE-2026-13358
·
تاريخ النشر
2026-08-15
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
تقويم حجز المواعيد — إصدارات المكون الإضافي «Simply Schedule Appointments» الأقدم من 1.6.12.11
الوصف
يوجد مرجع كائن مباشر غير آمن بسبب عدم وجود التحقق من صحة مفتاح يتحكم فيه المستخدم داخل
ssa past appointments. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المساهم أو أعلى استغلال نقطة نهاية REST /wp-json/ssa/v1/render-shortcode للوصول إلى سجلات المواعيد الخاصة بأي مستخدم. وهذا يسمح بجمع رموز الملكية الخاصة بكل موعد، وهي عبارة عن تجزئات مكونة من 32 حرفًا مضمنة في HTML. يمكن استخدام هذه الرموز دون مصادقة لقراءة المواعيد أو تعديلها، مما يؤدي إلى الكشف عن المعلومات الشخصية القابلة للتعريف (PII) مثل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف والملاحظات الخاصة.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.6.12.10.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾