→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-105197 · appointment-booking
حذف غیرمجاز رکوردها ناشی از نقص کنترل دسترسی در افزونه Appointment Booking وردپرس
افزونه Appointment Booking در نسخه‌های ۵.۶.۵ و قبل از آن، هنگام حذف بررسی نمی‌کند که کاربر پشتیبان مجاز به اقدام روی همان رکورد مشخص است. در نتیجه یک کاربر احراز هویت‌شده با نقش کارکنانِ محدود به محدوده مشخص می‌تواند هر سفارش، مشتری یا تراکنش سایت را، از جمله رکوردهای متعلق به سایر کارکنان و خارج از محدوده اختصاص‌یافته خود، به‌صورت برگشت‌ناپذیر حذف کند. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه‌ای جدیدتر از ۵.۶.۵ به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 5.6.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته appointment-booking را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.