CVE-2025-29448

描述

Easy!Appointments v1.5.1 中的预订逻辑缺陷允许未经身份验证的攻击者创建持续时间过长的预约，从而阻止所有未来的预订可用性，造成拒绝服务。

复现步骤

1. 拦截一个预约预订请求。
2. 在请求正文中找到 post_data[appointment][end_datetime] 参数。
3. 将参数值修改为未来的一个遥远日期并发送请求。
4. 应用程序接受该长时间预订，阻止了所有未来的可用性，造成拒绝服务。

修复提交

https://github.com/alextselegidis/easyappointments/commit/74633b60f28bdef3cc9f905c0599cef121fee32b