→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-108123 · wp-booking-system
دور زدن مجوز دسترسی (Authorization Bypass) در افزونه WP Booking System
افزونه WP Booking System – Booking Calendar در نسخه‌های تا و شامل 2.1.0.3 به‌دلیل بررسی نادرست مجوز کاربر برای انجام عملیات، دچار دور زدن مجوز دسترسی است. در نتیجه مهاجمان احراز هویت‌نشده و نیز هر کاربر با سطح دسترسی Subscriber می‌توانند با پیمایش شناسه رزرو و شناسه گزارش ایمیل، متن ایمیل اعلان ذخیره‌شده هر رزرو را بخوانند و اطلاعات شخصی مشتریان شامل نام، نشانی ایمیل، شماره تلفن، پیام‌ها و تاریخ رزرو را که فقط باید برای مدیران قابل مشاهده باشد افشا کنند. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 2.1.0.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-booking-system را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.