Rox Appointment Booking est vulnérable à une élévation de privilèges par affectation de masse sur son endpoint public de réservation. Les versions jusqu’à 1.3.1 inclus sont concernées; une prise de contrôle de compte administrateur peut en résulter si un administrateur ouvre puis enregistre l’enregistrement client piégé.
Source : NVD — CVE-2026-104012
Analyse technique
L’endpoint REST public enregistre notamment un `wp_user_id` fourni par l’attaquant avec une adresse e-mail contrôlée. Si un administrateur enregistre ensuite l’enregistrement, l’adresse du compte ciblé peut être remplacée, permettant une prise de contrôle via la procédure standard de réinitialisation de mot de passe.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, surveiller les enregistrements clients et ne pas enregistrer d’enregistrement suspect.
Sources
Priorisation DFS : P3 · 1 source(s).