CVE-2026-89063 in Bookly Plugin
Zusammenfassung
von VulDB • 16.09.2026
Das Online-Terminplanungs- und Buchungsplugin „Bookly“ für WordPress ist in allen Versionen bis einschließlich 28.1 aufgrund einer fehlenden Validierung eines benutzerkontrollierten Schlüssels im Parameter 'conversation_id' anfällig für Insecure Direct Object Reference (IDOR). Dies ermöglicht es nicht authentifizierten Angreifern, das vollständige Transkript der KI-Buchungskonversation jedes Kunden auszulesen – wodurch Namen, E-Mail-Adressen, Telefonnummern und von dem Assistenten ausgegebene Terminangaben offengelegt werden –, sowie beliebige Nachrichten in jede Opferkonversation einzufügen, die anschließend zusammen mit dem vollständigen privaten Verlauf an den Cloud-KI-Arbeiter weitergeleitet (replayed) werden. Da KI-Konversationen ohne Besitzer-, Benutzer- oder Sitzungsidentifikator gespeichert werden und Konversations-IDs sequenzielle Ganzzahlen sind, kann ein nicht authentifizierter Angreifer alle Kundenkonversationen einfach durch Inkrementieren des Parameters conversation_id aufzählen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.