CVE-2026-103365 in Bookly Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das WordPress-Plugin „Bookly – Online Scheduling and Appointment Booking System“ ist in den Versionen bis einschließlich 28.4 anfällig für die Offenlegung sensibler Informationen über den Schritt „Details“ des klassischen Buchungsformulars. Der Endpunkt `bookly_render_details` wird sowohl für `wp_ajax` als auch für `wp_ajax_nopriv` registriert, das Modul überschreibt `csrfTokenValid()`, sodass es immer `true` zurückgibt, und `Bookly\Frontend\Components\Booking\InfoText::getCodes()` ruft `UserBookingData::getCustomer()` auf, um die persistierte Customer-Entität zu laden, die ausschließlich durch die vom Angreifer bereitgestellte Telefonnummer (oder E-Mail) indiziert ist, ohne Aufruf der eigenen Prädikat-Funktion des Plugins `customerIdentityConfirmed()`. Wenn ein Website-Besitzer die unterstützten Platzhalter `{client_name}`, `{client_email}`, `{client_phone}` oder `{client_note}` in den Erscheinungsbild-Informationstext des Schritts „Details“ eingefügt hat, werden der gespeicherte Name, die E-Mail-Adresse, die Telefonnummer und die internen Notizen des übereinstimmenden Kunden in das zurückgegebene HTML eingesetzt. Dies ermöglicht es nicht authentifizierten Angreifern, die lediglich die primäre Telefonnummer (oder E-Mail) eines registrierten Kunden kennen, auf die gespeicherten persönlichen Daten dieses zuzugreifen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.