Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-269

CVE-2026-104012

Rox Appointment Booking eklentisi: yetkisiz yetki yükseltme (kitlesel atama)

roxnor Rox Appointment Booking – Event, Calendar & Appointment Scheduling

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
2 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açıklık, saldırganların site yönetici hesabını ele geçirmesine olanak tanıyabilir ve web sitesinin tamamen kontrol edilmesine yol açabilir. Saldırı için bir yöneticinin ilgili kaydı açıp kaydetmesi gerekir, ancak sonuçları ciddidir. Bu nedenle eklentinin hızla güncellenmesi ya da kaldırılması önerilir.

ÖzetTürkçe

Rox Appointment Booking (Appointment Booking Scheduling Solution) WordPress eklentisinin 1.3.1 sürümüne kadar olan tüm sürümlerinde, herkese açık randevu uç noktası istek gövdesini filtrelemeden müşteri kaydına yazmaktadır. Bu nedenle kimliği doğrulanmamış bir saldırgan, bir WordPress kullanıcı kimliğini ve kendi e-posta adresini kayda ekleyebilir. Kayıt bir yönetici tarafından açılıp güncellenirse, hedef yöneticinin e-posta adresi değiştirilebilir.

Saldırgan ne yapabilir?

Saldırgan hedef yöneticinin e-posta adresini değiştirip parola sıfırlama yoluyla yönetici hesabını ele geçirebilir ve siteye tam yetkiyle erişebilir. Bu, içerik değişikliği, kötü amaçlı kod yerleştirme ve veri sızıntısı gibi sonuçlara yol açabilir.

Kaynaktaki açıklama (İngilizce)

The Rox Appointment Booking – Appointment Booking Scheduling Solution plugin for WordPress is vulnerable to Privilege Escalation via Mass Assignment in all versions up to, and including, 1.3.1 This is due to the public /rox-appointment-booking/v1/public/booking REST endpoint performing mass-assignment of the raw request body into a new customer row while CustomerModel::$fillable includes the internal wp_user_id column, allowing an unauthenticated attacker to persist an arbitrary WordPress user ID alongside an attacker-controlled email address with no authorization check. When an administrator subsequently opens the poisoned customer record and clicks Update Customer, SaveCustomer::handleRequest() passes the stored wp_user_id and attacker-supplied email to wp_update_user() — succeeding because LinkedAccount::canChange() unconditionally returns true when the acting user holds the edit_users capability — thereby overwriting the targeted administrator's email address and enabling full account takeover via a standard WordPress password-reset request. Successful exploitation requires an administrator to open and save the poisoned record, and the attacker must know or guess a valid administrator user ID (such as the default user ID 1).

Ne yapmalı?

  1. Eklentiyi, sağlayıcının yayımladığı düzeltilmiş bir sürüme (1.3.1 sürümünün üzerindeki bir sürüme) güncelleyin. Kesin düzeltilmiş sürüm numarası bu veride belirtilmemiştir; eklentiyi WordPress yönetim panelinden en son sürüme güncelleyin. Genel öneri
  2. Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı değerlendirin, özellikle randevu alma işlevi kritik değilse. Genel öneri
  3. Yöneticilerin, son dönemde oluşturulmuş veya düzenlenmiş olabilecek şüpheli müşteri kayıtlarını kontrol etmesini ve bu kayıtları güncellemeden önce doğrulamasını sağlayın. Genel öneri
  4. Yönetici e-posta adreslerinde beklenmeyen bir değişiklik olup olmadığını kontrol edin ve şüpheli bir değişiklik varsa ilgili hesapların parolalarını sıfırlayın ve oturumları sonlandırın. Genel öneri

Ek önlemler

  • Yönetici hesapları için iki faktörlü kimlik doğrulama kullanın, böylece e-posta değişikliği tek başına hesap ele geçirmeye yetmesin. Genel öneri
  • Yönetici hesaplarının e-posta değişikliklerini izleyin ve beklenmeyen değişiklikler için uyarı alın. Genel öneri
  • Yönetici hesaplarında varsayılan kullanıcı kimliğini (ör. 1) kullanmaktan kaçının ve gereksiz yönetici hesaplarını kaldırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
roxnor Rox Appointment Booking – Event, Calendar & Appointment Scheduling ≤ 1.3.1 –

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.