CVE-2026-94074: Accesso non autenticato in Simply Schedule Appointments

CVE-2026-94074 descrive un difetto di Broken Access Control non autenticato nel plugin WordPress Simply Schedule Appointments fino alla versione 1.6.12.29. La vulnerabilità consente a attaccanti non autenticati di accedere a funzionalità critiche del plugin, compromettendo la confidenzialità e l'integrità dei dati gestiti dal plugin.

La vulnerabilità ha un punteggio CVSS 6,5 e una gravità ufficiale di medium. È stata registrata sul National Vulnerability Database il 30 settembre 2026. A partire dal 7 novembre 2026, repository pubblici su GitHub dichiarano di contenere un Proof-of-Concept per lo sfruttamento, segnale che la vulnerabilità è divenuta nota nel panorama della sicurezza informatica.

Gli amministratori di siti WordPress che utilizzano Simply Schedule Appointments devono verificare immediatamente la versione installata e aggiornare il plugin a una versione posteriore alla 1.6.12.29. È consigliato controllare i log di accesso per individuare exploit recenti. Dove possibile, implementate firewall applicativo o filtri che limitano l'accesso al plugin fino al completamento dell'aggiornamento.