用 Amelia Pro 接受預約的站點，請核對外掛是否已更新到 9.9.2 或以上。Amelia 在 11 月 4 日發布安全更新，Patchstack 在 11 月 6 日公開這批漏洞的細節，並將其中無須登入的 SQL 注入列為已知被利用。
同一批修補涵蓋三項問題
| 漏洞 | 受影響 | 最低修補 |
|---|---|---|
| CVE-2026-116751 SQL 注入 |
Pro 4.0–9.9.1 | 9.9.2 |
| CVE-2026-107616 活動參加者資料外洩 |
9.0–9.9.1 | 9.9.2 |
| CVE-2026-104992 已登入角色越權讀取 |
9.0–9.9.1 | 9.9.2 |
SQL 注入發生在 Amelia Pro 處理查詢標籤的資料時。攻擊者可以在無須登入的情況下影響資料庫查詢，並可能藉由回應時間推斷資料。請以網站實際啟用的 Pro 套件版本判斷，外掛列表上相似的免費版名稱容易看錯。
另外兩項是權限檢查問題。依 Wordfence 提交的 CVE 紀錄，CVE-2026-107616 可能讓已登入的顧客帳號跨活動匯出參加者資料，CVE-2026-104992 則需要先以公告所列的特定角色登入，才可能讀取原本無權查看的資料。Patchstack 對 CVE-2026-107616 的登入條件標示與 Wordfence 紀錄不同，站長應先更新並檢查顧客帳號可匯出的資料範圍。Patchstack 的利用標記適用於上述 SQL 注入公告。
預約還要照常收，資料權限也要照常擋
透過原廠管道取得更新，備份後先用測試預約確認時段、提交、確認通知及取消流程。更新後再用一般訪客和測試員工帳號分別查看活動頁，確認只看得到各自有權使用的資料。若站點曾用受影響的 Pro 版本接受公開預約，請保留相關存取紀錄，讓維護者比對異常請求與當時啟用的版本。
封面為 AI 生成的概念插圖。
