→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-104898 · bookly-responsive-appointment-booking-tool

آسیب‌پذیری ارجاع مستقیم ناامن به شیء (IDOR) و افزایش سطح دسترسی (Privilege Escalation) در افزونه Bookly

افزونه سیستم نوبت‌دهی آنلاین Bookly در تمام نسخه‌های تا ۲۸.۴ به‌دلیل نبود اعتبارسنجی کافی روی شناسه تحت کنترل کاربر، در برابر ارجاع مستقیم ناامن به شیء (IDOR) آسیب‌پذیر است. مهاجم احرازهویت‌شده با سطح دسترسی مشترک یا بالاتر، در صورتی که به حداقل یک رکورد کارکنان Bookly متصل باشد، می‌تواند پیوند حساب وردپرس هر رکورد کارکنان از جمله مدیران را بازنویسی کند و با ربودن ارتباط حساب کاربر ممتاز، سطح دسترسی خود را افزایش دهد. با توجه به انتشار وصله امنیتی، افزونه را در اسرع وقت به نسخه امن به‌روزرسانی کنید.