→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-111213 · tour-booking-manager

دور زدن مجوز (Authorization Bypass) در افزونه Travelly – Tour & Travel Booking Manager

متوسط plugin CVSS 4.3

افزونه Travelly – Tour & Travel Booking Manager for WooCommerce در همه نسخه‌های تا ۲.۳.۶ و از جمله آن، به‌دلیل بررسی نادرست مجوز کاربر دچار دور زدن مجوز است. مهاجم احرازهویت‌شده با دسترسی Contributor یا بالاتر می‌تواند نوشته‌های دلخواه، از جمله نوشته‌های خصوصی، پیش‌نویس و در انتظار بررسیِ مدیران و ویرایشگران، را به پیش‌نویس متعلق به خود تکثیر کند و بدین‌ترتیب محتوا، خلاصه، عنوان، طبقه‌بندی‌ها و فراداده نوشته اصلی افشا می‌شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به این قابلیت را با فایروال وب (WAF) محدود نمایید.

نسخه‌های تحت تأثیر

<= 2.3.6

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته tour-booking-manager را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

دور زدن مجوز (Authorization Bypass) در افزونه Travelly – Tour & Travel Booking Manager

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر