Easy!Appointmentsはセルフホスト型の予約スケジューラーです。バージョン1.5.2およびそれ以前では、application/core/EA_Security.phpのcsrf_verify()関数がPOSTリクエストに対してのみCSRFを強制し、POST以外のメソッドの場合は早期に処理を終了します。複数のアプリケーションのエンドポイントはGET（または$_REQUEST）からのパラメータを受け入れながら状態を変更する操作を実行するため、攻撃者は被害者のブラウザに細工されたGETリクエストを送信させることでCSRF攻撃を行うことが可能です。影響としては、管理者アカウントを作成でき、管理者のメールアドレスやパスワードを変更でき、管理者アカウントを完全に乗っ取られる可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。