CVE-2026-59523: нарушение контроля доступа в WordPress-плагине Simply Schedule Appointments
В плагине Simply Schedule Appointments для WordPress (версии до 1.6.11.11 включительно) обнаружена уязвимость категории Broken Access Control, связанная с отсутствием проверки авторизации. Проблема затрагивает сайты, использующие этот плагин для онлайн-записи, и имеет средний уровень критичности — CVSS 6.5. Злоумышленник может воспользоваться некорректно настроенными уровнями доступа для выполнения действий, на которые у него нет прав.
Подробности
Уязвимость относится к классу Broken Access Control (нарушение контроля доступа) и описывается как Missing Authorization — отсутствие проверки авторизации при обращении к функциональности плагина. Согласно описанию, проблема связана с эксплуатацией некорректно сконфигурированных уровней безопасности контроля доступа. Уязвимы версии Simply Schedule Appointments от неизвестной начальной версии (n/a) вплоть до 1.6.11.11 включительно. Иными словами, все сборки плагина, выпущенные до исправленной версии, потенциально подвержены проблеме. Уязвимости присвоен базовый балл CVSS 6.5, что соответствует среднему уровню критичности. Такой рейтинг отражает значимость проблемы: она не позволяет напрямую выполнить удалённое исполнение кода, однако может привести к несанкционированным действиям с данными записей, настройками плагина или иными защищёнными операциями, доступ к которым должен быть ограничен. Отдельно стоит отметить, что в записи CVE не раскрываются конкретные векторы эксплуатации и точный перечень затрагиваемых эндпоинтов. Это означает, что детальная техническая информация о том, какие именно функции плагина не проверяют права пользователя, публично не подтверждена. Тем не менее сам факт наличия Missing Authorization в компоненте бронирования делает уязвимость практически значимой для владельцев сайтов.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин Simply Schedule Appointments до версии, выпущенной после 1.6.11.11, как только она станет доступна. Поскольку официальный патч закрывает именно отсутствующую проверку авторизации, установка актуальной версии полностью устраняет проблему. Если немедленное обновление невозможно, следует применить компенсирующие меры: - ограничить доступ к административной части сайта и её эндпоинтам средствами веб-сервера или WAF; - проверить настройки ролей и прав пользователей, убедившись, что действия с записями доступны только доверенным ролям; - включить журналирование обращений к административным и AJAX-эндпоинтам плагина для выявления подозрительной активности; - по возможности временно отключить плагин, если он не критичен для работы сайта. Также рекомендуется провести аудит на предмет несанкционированных изменений в записях и настройках плагина, так как уязвимость могла быть использована до момента обновления. Итог: CVE-2026-59523 — типичный пример уязвимости Broken Access Control в WordPress-плагине со средним уровнем риска. Проблема не является критической, но требует внимания: контроль доступа в плагинах бронирования напрямую влияет на конфиденциальность и целостность данных пользователей. Своевременное обновление до версии выше 1.6.11.11 закрывает уязвимость, а дополнительные митигации снижают риск эксплуатации в переходный период.Источник: CVE Project (cvelistV5)