CVE-2024-13677

GetBookingsWP – مكون إضافي لتقويم حجز المواعيد لـ WordPress حتى الإصدار 1.1.27

تنشأ المشكلة عن فشل المكون الإضافي في التحقق بشكل صحيح من هوية المستخدم قبل تحديث بياناته، مثل عناوين البريد الإلكتروني. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى بتعديل عناوين البريد الإلكتروني لمستخدمين عشوائيين، بما في ذلك عناوين البريد الإلكتروني للمسؤولين. ويمكن للمهاجمين بعد ذلك استغلال هذه القدرة لإعادة تعيين كلمة مرور المستخدم والوصول إلى حسابه.

بالنسبة للإصدارات حتى 1.1.27، قم بتحديث المكون الإضافي إلى إصدار أعلى من 1.1.27 لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى ميزات إدارة المستخدمين في المكون الإضافي لتقليل مخاطر الاستغلال. بالإضافة إلى ذلك، راقب نشاط حساب المستخدم للكشف عن أي تغييرات مشبوهة في عناوين البريد الإلكتروني أو عمليات إعادة تعيين كلمة المرور.