→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110015 · salon-booking-system
جعل درخواست بین‌سایتی (CSRF) و افزایش سطح دسترسی در افزونه Salon Booking System
افزونه Salon Booking System در نسخه‌های ۱۰.۳۱.۹ و پایین‌تر، اصالت درخواست‌های REST API را به‌درستی تأیید نمی‌کند و بررسی نانس هسته وردپرس را برای نشست‌های احراز هویت‌شده با کوکی در سراسر REST API کنار می‌گذارد. مهاجم بدون احراز هویت می‌تواند مدیر واردشده را به کلیک روی یک پیوند دستکاری‌شده فریب دهد تا درخواست‌هایی در مرورگر همان مدیر جعل شود و حتی حساب مدیر جدید ساخته شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال برنامه‌های وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 10.31.9
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته salon-booking-system را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.