→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-116557 · wp-booking-system
نقص در بررسی سطح دسترسی (Missing Authorization) در افزونه WP Booking System – Booking Calendar
افزونه WP Booking System - Booking Calendar در نسخه‌های تا و شامل ۲.۱.۰.۵ به‌دلیل نبود بررسی سطح دسترسی (capability check) در تابع wpbs_action_ajax_calendar_remove_note() در برابر تغییر و حذف غیرمجاز داده‌ها آسیب‌پذیر است. مهاجمان احرازهویت‌شده با سطح دسترسی Subscriber و بالاتر می‌توانند یادداشت‌های تقویم متعلق به هر تقویمی را حذف کنند. از آنجا که وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 2.1.0.5
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-booking-system را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b25cc768-3377-41c9-acf5-8f6c993287c9?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b25cc768-3377-41c9-acf5-8f6c993287c9 ↗
- https://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L111 ↗
- https://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L119 ↗
- https://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L123 ↗
- https://plugins.trac.wordpress.org/changeset/3765778/wp-booking-system/trunk/includes/base/admin/calendar/functions-notes.php ↗
- https://plugins.trac.wordpress.org/changeset?old=3755940&old_path=%2Fwp-booking-system%2Ftrunk&new=3765778&new_path=%2Fwp-booking-system%2Ftrunk ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b25cc768-3377-41c9-acf5-8f6c993287c9?source=cve ↗