→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-14349 · truebooker-appointment-booking
دور زدن مجوز دسترسی (Authorization Bypass) در افزونه TrueBooker – Appointment Booking and Scheduler System
افزونه TrueBooker – Appointment Booking and Scheduler System تا نسخه ۱.۲.۳ به دلیل عدم بررسی صحیح مجوز کاربر برای انجام عملیات، در برابر دور زدن مجوز آسیب‌پذیر است. مهاجمان بدون نیاز به احراز هویت می‌توانند آدرس ایمیل حساب‌های کاربری دلخواه از جمله مدیران را تغییر دهند و با بازنشانی رمز عبور، به حساب دسترسی کامل پیدا کنند که منجر به تصاحب وب‌سایت می‌شود. توصیه می‌شود فوراً افزونه را به نسخه امن و وصله‌شده به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.2.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته truebooker-appointment-booking را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/3a61ddbc-9118-4cad-a639-7822606a3181?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/3a61ddbc-9118-4cad-a639-7822606a3181 ↗
- https://plugins.trac.wordpress.org/changeset?old_path=/truebooker-appointment-booking/tags/1.2.3/main/function_ajax.php&new_path=/truebooker-appointment-booking/tags/1.2.4/main/function_ajax.php ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/3a61ddbc-9118-4cad-a639-7822606a3181?source=cve ↗