→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-6723 · appointment-booking-calendar
آسیب‌پذیری مجوزدهی نادرست (Incorrect Authorization) در افزونه Appointment Booking Calendar
افزونه Appointment Booking Calendar (Simply Schedule Appointments Booking Plugin) برای وردپرس در همه نسخه‌های تا و شامل ۱.۶.۱۱.۱۱ به‌دلیل مجوزدهی نادرست آسیب‌پذیر است؛ نقطه پایانی REST API به‌روزرسانی نوبت، فیلدهایی را که مشتریان احراز هویت‌شده با توکن می‌توانند تغییر دهند محدود نمی‌کند. در نتیجه مهاجمان احراز هویت‌نشده می‌توانند فیلدهای تحت کنترل مدیر را روی همان نوبت دستکاری کنند، از جمله جعل تأیید پرداخت، واگذاری نوبت به کاربر دیگر و تغییر نوع خدمت. چون وصله امنیتی موجود است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 1.6.11.11
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته appointment-booking-calendar را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.