WP Booking System <= 2.1.0.5 - غياب التفويض لحذف ملاحظة تقويم عشوائية دون مصادقة عبر إجراء AJAX المسمى wpbs_calendar_remove_note

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

إضافة WP Booking System لـ WordPress مصابة بتعديل غير مرخص للبيانات بسبب غياب التحقق من الصلاحيات على دالة wpbs_action_ajax_calendar_remove_note() في الإصدارات حتى 2.1.0.5 ضمناً. يتيح ذلك للمهاجمين الذين يملكون حسابًا مصادقًا عليه، بصلاحيات مستوى المشترك وما فوق، حذف ملاحظات التقويم العشوائية التي تنتمي إلى أي تقويم.

المعالجة

1. أحصِ جميع نشرات murgroland WP Booking System – Booking Calendar، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L111
• مرجعhttps://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L119
• مرجعhttps://plugins.trac.wordpress.org/browser/wp-booking-system/tags/2.1.0.5/includes/base/admin/calendar/functions-notes.php#L123
• مرجعhttps://plugins.trac.wordpress.org/changeset/3765778/wp-booking-system/trunk/includes/base/admin/calendar/functions-notes.php
• مرجعhttps://plugins.trac.wordpress.org/changeset?old=3755940&old_path=%2Fwp-booking-system%2Ftrunk&new=3765778&new_path=%2Fwp-booking-system%2Ftrunk
• مرجعhttps://www.wordfence.com/threat-intel/vulnerabilities/id/b25cc768-3377-41c9-acf5-8f6c993287c9?source=cve