→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-2520 · bookly-responsive-appointment-booking-tool
فقدان بررسی قابلیت (Missing Capability Check) منجر به به‌روزرسانی غیرمجاز افزونه‌ها در افزونه Bookly
افزونه Bookly سیستم رزرو آنلاین و نوبت‌دهی وردپرس در نسخه‌های تا و شامل ۲۷.۲ به دلیل نبود بررسی سطح دسترسی در تابع updateAddon آسیب‌پذیر است. مهاجمان احراز هویت‌شده با دسترسی Subscriber و بالاتر می‌توانند هر افزونه‌ای با فایل اصلی main.php را به آخرین نسخه به‌روزرسانی کنند که منجر به تغییر غیرمجاز داده‌ها و اختلال در عملکرد سایت می‌شود. با توجه به انتشار وصله امنیتی، فوراً افزونه را به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 27.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته bookly-responsive-appointment-booking-tool را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/bookly-responsive-appointment-booking-tool/trunk/lib/PluginsUpdater.php#L10 ↗
- https://plugins.trac.wordpress.org/browser/bookly-responsive-appointment-booking-tool/trunk/lib/PluginsUpdater.php#L105 ↗
- https://plugins.trac.wordpress.org/changeset/3504922/ ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/b7edc69b-363d-49df-b82b-a9ad4fe9224a?source=cve ↗