PT-2026-50638
CVE-2026-12111
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-06-18
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات «تقويم حجز المواعيد» الأقدم من 1.4.02
الوصف
يتعرض المكون الإضافي لخطر الكشف عن المعلومات الحساسة بسبب عدم كفاية التفويض وغياب التحقق من ملكية كل تقويم على حدة داخل الدالة
cpabc appointments calendar load2(). يمكن الوصول إلى هذه الدالة عبر معلمة الاستعلام cpabc calendar load2=1 في ’wp-admin‘. يقوم النظام بالتحقق فقط مما إذا كان المستخدم مسؤولاً أو يمتلك صلاحية edit posts، والتي تُمنح للمستخدمين الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى. ونتيجة لذلك، يمكن للمهاجمين المصادق عليهم الذين يمتلكون هذه الامتيازات تقديم معرّف تقويم تعسفي عبر المعلمة id لاستخراج بيانات حجوزات العملاء، مثل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وأوقات الحجز والتعليقات، من أي تقويم يديره المكون الإضافي.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.4.01.
كحل مؤقت، قم بتقييد الوصول إلى الدالة
cpabc appointments calendar load2() أو المعلمة id في منطقة «wp-admin» للمستخدمين الذين يتمتعون بامتيازات على مستوى «المساهم» (Contributor). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾