→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110012 · salon-booking-system
نقص کنترل دسترسی در مسیرهای REST API افزونه Salon Booking System
افزونه Salon Booking System در نسخه‌های 10.31.3 و پایین‌تر، چندین مسیر REST API مربوط به رزرو را به کاربران دارای قابلیت مناسب محدود نمی‌کند. در نتیجه هر کاربر احراز هویت‌شده، حتی با نقش مشترک (Subscriber)، می‌تواند سوابق رزرو همه مشتریان از جمله داده‌های شخصی آن‌ها را بخواند. از آنجا که وصله رسمی هنوز منتشر نشده است، افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) دسترسی به این مسیرها را محدود نمایید.
نسخه‌های تحت تأثیر
<= 10.31.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته salon-booking-system را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.