یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-87115 در افزونه VikAppointments Services Booking Calendar برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در تمامی نسخه‌ها تا ورژن 1.2.21 وجود دارد و ناشی از اعتبارسنجی ناکافی مسیر فایل (File Path Validation) در تابع extract است.
جزئیات فنی و اثرات
این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا بدون نیاز به احراز هویت (Unauthenticated)، فایل‌های دلخواه را از روی سرور حذف کنند. در صورتی که مهاجم بتواند فایل‌های حساس مانند wp-config.php را هدف قرار دهد، این وضعیت می‌تواند به سرعت به اجرای کد از راه دور (Remote Code Execution یا RCE) منجر شود.
شرایط بهره‌برداری
- مهاجم باید بتواند از طریق یک فیلد سفارشی از نوع فایل (File-type custom field) که در سایت منتشر شده است، این نقص را تحریک کند.
- عدم وجود محدودیت در دسترسی به توابع استخراج فایل، امکان دسترسی به مسیرهای حساس سرور را فراهم می‌کند.
به مدیران وب‌سایت‌ها و متخصصان امنیت توصیه می‌شود در سریع‌ترین زمان ممکن این افزونه را به آخرین نسخه به‌روزرسانی کنند تا از بروز حملات احتمالی جلوگیری شود.
