در افزونه Hotel Booking برای سیستم مدیریت محتوای وردپرس (WordPress)، یک آسیب‌پذیری امنیتی از نوع CSRF (جاع‌سازی درخواست میان‌سایتی) با شناسه CVE-2026-84166 شناسایی شده است.
جزئیات فنی و اثرات
این نقص امنیتی در نسخه‌های 3.8 و قدیمی‌تر این افزونه وجود دارد و به دلیل عدم پیاده‌سازی مکانیسم‌های حفاظتی CSRF در بخش مدیریت سفارشات رزرو (Administrative Booking Order Management) رخ داده است.
در نتیجه، یک مهاجم می‌تواند با ارسال درخواست‌های جعل شده (Forged Requests)، مدیران وارد شده به پنل مدیریت (Logged-in Administrator) را فریب دهد تا عملیات‌های زیر را بدون اطلاع یا رضایت آن‌ها اجرا کنند:
- ایجاد رکوردهای جدید برای سفارشات رزرو
- حذف سفارشات موجود در سیستم
- تغییر و اصلاح اطلاعات سفارشات رزرو
با توجه به اینکه این حمله نیازمند تعامل کاربر (User Interaction) است، مهاجم معمولاً از طریق مهندسی اجتماعی یا ارسال لینک‌های مخرب، مدیر سایت را به کلیک بر روی درخواست جعل شده ترغیب می‌کند.
