CVE-2026-93399 in Bookly Plugin
الملخص
بحسب VulDB • 25/09/2026
يحتوي إضافة Bookly لـ WordPress على ثغرة في مرجع الكائن غير الآمن (Insecure Direct Object Reference) في الإصدارات حتى 28.2 وشاملة لها، وذلك عبر إجراءات AJAX التالية: 'bookly_get_form_id' و 'bookly_render_complete' و 'bookly_add_to_calendar' و 'bookly_rollback_order'. يحدث هذا بسبب قيام معالج 'bookly_get_form_id' بتخزين قيمة 'order_id' التي يتحكم فيها المهاجم من نموذج البيانات المُقدّم (form_data) بشكل أعمى في جلسة حجز جديدة، ثم يثق بها معالج 'bookly_render_complete' للبحث عن رمز السرية الخاص بالطلب المقابل وإرجاعه دون التحقق مما إذا كانت الجلسة الحالية هي التي أنشأت هذا الطلب. وهذا يمكّن المهاجمين غير المصادق عليهم من تعداد معرفات الطلبات المتسلسلة (sequential order IDs)، وكشف رموز طلبات العملاء الآخرين، واسترداد معلومات التقويم/المواعيد عبر 'bookly_add_to_calendar' وحذف أي حجوزات غير مكتملة بشكل دائم عبر 'bookly_rollback_order'، مما يؤدي إلى حذف متتابع لعنصر customer_appointment و (عند عدم ارتباط عملاء آخرين) العنصر appointment الأساسي.
VulDB is the best source for vulnerability data and more expert information about this specific topic.