CVE-2025-29448

Description

Défaut de logique de réservation dans Easy!Appointments v1.5.1 permettant à des attaquants non authentifiés de créer des rendez-vous avec des durées excessivement longues, provoquant un déni de service en bloquant toutes les disponibilités futures.

Étapes pour reproduire

1. Intercepter une demande de réservation de rendez-vous.
2. Localiser le paramètre post_data[appointment][end_datetime] dans le corps de la requête.
3. Modifier la valeur du paramètre pour une date très lointaine dans le futur et envoyer la requête.
4. L'application accepte la longue réservation, bloquant toutes les disponibilités futures et provoquant un déni de service.

Correction dans le commit

https://github.com/alextselegidis/easyappointments/commit/74633b60f28bdef3cc9f905c0599cef121fee32b