CVE-2025-29448

説明

Easy!Appointments v1.5.1 の予約ロジックの欠陥により、認証されていない攻撃者が過度に長い期間の予約を作成し、将来のすべての予約可能枠をブロックしてサービス拒否を引き起こすことが可能です。

再現手順

1. 予約リクエストを傍受する。
2. リクエストボディ内の post_data[appointment][end_datetime] パラメータを見つける。
3. パラメータ値を将来の遠い日付に変更し、リクエストを送信する。
4. アプリケーションは長時間の予約を受け入れ、将来のすべての利用可能枠をブロックしてサービス拒否を引き起こす。

修正コミット

https://github.com/alextselegidis/easyappointments/commit/74633b60f28bdef3cc9f905c0599cef121fee32b