Simply Schedule Appointments WordPress-Plugin: Fehlende Berechtigungsprüfung

Zusammenfassung

Das WordPress-Plugin Simply Schedule Appointments bis und mit Version 1.6.13.0 enthält eine Schwachstelle durch fehlende Autorisierung (CWE-862), die den Zugriff auf Funktionen oder Daten ermöglicht, die eingeschränkt sein sollten. Gemäss CVSS-Vektor kann ein nicht authentifizierter Angreifer aus dem Netz eingeschränkt Daten lesen, ohne Auswirkungen auf Integrität oder Verfügbarkeit. Buchungsdaten können Personendaten von Kunden enthalten, weshalb die Exponierung datenschutzrelevant ist. Eine Ausnutzung ist nicht bekannt, und die betroffene Ressource wird in den Quellen nicht beschrieben.

Betroffen

• NSquared Simply Schedule Appointments (WordPress-Plugin) bis und mit Version 1.6.13.0
• Versionen 1.6.13.1 bis 1.6.13.3: Status nicht verifiziert

Behoben in

• Version 1.6.13.4 (erste nicht betroffene Version gemäss CVE-Eintrag und Patchstack)

Umgehung

• Kein Workaround vom Hersteller dokumentiert.
• Falls ein Update verzögert werden muss, den Zugriff auf die REST-Endpunkte des Plugins über die Web Application Firewall oder den Reverse Proxy einschränken. Dies ist allgemeine Empfehlung und keine dokumentierte Behebung; die betroffenen Endpunkte sind unbekannt.

Ausnutzung

• Nicht bekannt, ob ausgenutzt.
• Kein öffentlicher Proof of Concept für diese CVE gefunden.
• CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung partial.
• Für eine andere Schwachstelle des Plugins (CVE-2026-94074) existiert ein öffentlicher PoC, dies deutet nicht auf eine Ausnutzung dieser CVE hin.

Unsere Empfehlung

• WordPress-Websites mit diesem Plugin inventarisieren und die installierte Version erfassen.
• Auf Version 1.6.13.4 oder neuer aktualisieren und die installierte Version anschliessend auf der offiziellen wordpress.org-Seite überprüfen.
• Falls das Update verzögert wurde, Buchungsdaten und REST-Zugriffsprotokolle auf exponierten Websites prüfen.
• NVD und den Patchstack-Advisory erneut prüfen, sobald die NVD-Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-125437 www.cve.org
• Patchstack advisory patchstack.com
• OffSeq radar entry radar.offseq.com
• WordPress.org plugin page wordpress.org
• WPScan vulnerability entry wpscan.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:45.