CVE-2026-16540 — Simply Schedule Appointments < 1.6.12.6

Divulgation non authentifiée des données de rendez-vous et suppression massive via l'endpoint purge

Résumé

L'endpoint REST GET /wp-json/ssa/v1/appointments/purge de Simply Schedule Appointments applique un contrôle d'autorisation (get_items_permissions_check) qui valide un id_token prouvant la possession d'un seul rendez-vous. Cependant, le gestionnaire (purge_appointments()) ignore complètement à quel rendez-vous le jeton est associé et agit à la place sur tous les rendez-vous du site correspondant aux conditions fournies.

Un attaquant non authentifié qui réserve un seul rendez-vous via le formulaire de réservation public reçoit un id_token. Grâce à ce jeton, l'attaquant peut :

1. Récupérer les données personnelles de tous les rendez-vous du site (noms, e-mails, numéros de téléphone, détails des rendez-vous)
2. Supprimer définitivement tous les rendez-vous passés, annulés ou futurs (la suppression n'est possible que sur les éditions premium)

La suppression se propage en cascade sur 6 tables de base de données dépendantes, dans des transactions validées, sans fonctionnalité native d'annulation.

Analyse de la cause racine

Fichier : includes/class-appointment-model.php

Autorisation sur une ressource erronée (CWE-863)

Le contrôle de permissions et le gestionnaire opèrent sur des portées complètement différentes :

// Route registration
register_rest_route( $namespace, '/' . $base . '/purge', array(
    array(
        'methods'             => WP_REST_Server::READABLE,
        'callback'            => array( $this, 'purge_appointments' ),
        'permission_callback' => array( $this, 'get_items_permissions_check' ),
    ),
) );

Vérification des permissions — valide la possession d'UN rendez-vous via id_token :

public function get_items_permissions_check( $request ) {
    // ...
    if ( true === $this->id_token_permissions_check( $request ) ) {
        return true;  // grants access if caller proves ownership of one appointment
    }
    // ...
}

Gestionnaire — ignore le rendez-vous associé au jeton et agit à l'échelle du site :

public function purge_appointments( WP_REST_Request $request ) {
    $params = $request->get_params();

    // No customer_id or appointment_id scoping — deletes ALL matching appointments
    if ( isset( $params['purge_past_appointments'] ) && 'true' === $params['purge_past_appointments'] ) {
        $conditions[] = $wpdb->prepare( 'end_date < %s', $date_modified_max->format( 'Y-m-d' ) );
    }

    $sql = 'SELECT * FROM ' . $this->get_table_name()
         . ' WHERE ' . implode( ' OR ', $conditions )
         . ' ORDER BY id ASC LIMIT 5000';

    $list = $wpdb->get_results( $sql, ARRAY_A );
    // Cascade-deletes across 6 tables in committed transactions
}

L'id_token est un HMAC-MD5 dérivé de l'id et de date_created d'un seul rendez-vous. Posséder ce jeton prouve uniquement que l'appelant a réservé un rendez-vous précis — il ne confère aucun privilège à l'échelle du site, quel qu'il soit.

Chaîne d'attaque

1. Attacker visits the booking page and books any free appointment
   → receives confirmation email containing: appointment_id + id_token

2. GET /wp-json/ssa/v1/appointments/purge
     ?id=<appointment_id>
     &token=<id_token>
     &purge_past_appointments=true

3. Permission check passes (valid token for attacker's own appointment)

4. Handler selects ALL past appointments site-wide → returns PII in response
   → permanently deletes them across 6 tables (on premium editions)

Preuve de concept

Le PoC sera publié le 2026-08-05 après l'embargo de divulgation coordonnée.

Consultez le répertoire poc/ après la date de l'embargo.

Impact

Chronologie de la divulgation

Références

• Avis WPScan
• Page de l'extension WordPress
• CWE-863 : Autorisation incorrecte
• OWASP A5 : Contrôle d'accès cassé