CVE-2025-11723
Publiée le 2026-01-06 · Dernière modification le 2026-06-17
Les sites WordPress utilisant l'extension Simply Schedule Appointments (version 1.6.9.5 et versions antérieures) sont concernés si un sel (salt) personnalisé n'a pas été défini manuellement dans le fichier `wp-config.php`. Un attaquant non authentifié peut utiliser un sel de secours codé en dur pour forger des jetons valides, lui permettant ainsi de consulter et de modifier les informations de prise de rendez-vous. Cette opération peut être exécutée à distance via le réseau, sans interaction de l'utilisateur ni identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.6.9.5 via the hash() function due to use of a hardcoded fall-back salt. This makes it possible for unauthenticated attackers to generate a valid token across sites running the plugin that have not manually set a salt in the wp-config.php file and access booking information that will allow them to make modifications.