CVE-2026-4807
El plugin Appointment Booking Calendar para WordPress es vulnerable a Missing Authorization en versiones hasta y incluyendo 1.6.10.6. Esto se debe a una lógica de autorización defectuosa en el método nonce_permissions_check() combinada con la exposición pública de un nonces reutilizables a nivel del sitio. El plugin expone un valor public_nonce a través del endpoint /wp-json/ssa/v1/embed-inner, que es accesible para usuarios no autenticados. El endpoint de eliminación de citas en /wp-json/ssa/v1/appointments/{id}/delete y /wp-json/ssa/v1/appointments/bulk utiliza una comprobación de permisos que acepta solicitudes que contienen tanto un encabezado X-WP-Nonce (con cualquier valor arbitrario) como un encabezado X-PUBLIC-Nonce (con el nonces público válido). Cuando la validación del X-WP-Nonce falla, la función retrocede a validar el X-PUBLIC-Nonce sin rechazar correctamente la solicitud. Dado que el public_nonce está expuesto para todos los visitantes no autenticados y es de nivel del sitio (no específico del usuario o de la cita), los atacantes pueden obtenerlo y usarlo para ver detalles de citas arbitrarias, incluyendo el public_edit_url, o eliminar citas arbitrarias por ID. Esto permite a los atacantes no autenticados ver, eliminar o modificar cualquier cita en el sistema, revelando datos sensibles de las citas, causando interrupciones del servicio y pérdida de registros de reservas.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org