→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-77704 · booking-for-appointments-and-events-calendar
عدم بررسی قابلیت (Missing Capability Check) در تغییر وضعیت نوبت افزونه Booking for Appointments and Events Calendar
افزونه Booking for Appointments and Events Calendar در نسخه‌های ۲.۴.۹ و پایین‌تر قبل از اجازه تغییر وضعیت قرار ملاقات، قابلیت مورد نیاز کاربر را بررسی نمی‌کند. این موضوع به مشتریان اجازه می‌دهد وضعیت دلخواه از جمله تأیید نوبت‌های در انتظار تأیید و بازنویسی وضعیت نوبت مشتری دیگر در قرارهای مشترک را اعمال کنند. این آسیب‌پذیری با دسترسی سطح مشتری قابل بهره‌برداری است و ریسک دستکاری رزروها را برای سایت وردپرسی ایجاد می‌کند؛ بنابراین به‌روزرسانی فوری به نسخه ۲.۴.۹ یا بالاتر توصیه می‌شود.
نسخه‌های تحت تأثیر
<= 2.4.9
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته booking-for-appointments-and-events-calendar را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.