Easy!Appointments has unauthenticated customer PII disclosure on booking reschedule page — GHSA-XGR6-PQJV-3PF8

GitHub · GitHub · GHSA-XGR6-PQJV-3PF8

ID
GHSA-XGR6-PQJV-3PF8

Datum
2026-07-29

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

Zusammenfassung

## Summary The booking reschedule view at `/index.php/booking/reschedule/{appointment_hash}` (handled by `Booking::index()`) embeds the **entire customer record** as inline JavaScript (`const vars = {... "customer_data": {...}, ...}`) without authentication and without field whitelisting. Anyone in possession of the 12-character `appointment_hash` — which appears in plain text in reschedule emails, confirmation…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-07-29

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: composer: alextselegidis/easyappointments.

Produkt

composer: alextselegidis/easyappointments

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-XGR6-PQJV-3PF8
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-07-29
Letzte Quellenaktivität: 2026-07-29
Weitere Kennungen: CVE-2026-52837
Kuratiert von: hlukh.ch