CVE-2026-93399 in Bookly Plugin
Zusammenfassung
von VulDB • 25.09.2026
Das Bookly-Plugin für WordPress ist in den Versionen bis einschließlich 28.2 anfällig für eine Insecure Direct Object Reference (IDOR) über die AJAX-Aktionen 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' und 'bookly_rollback_order'. Dies liegt daran, dass der Handler 'bookly_get_form_id' das vom Angreifer kontrollierte 'order_id' aus den eingereichten form_data blind in eine neue Buchungssitzung speichert. Der Handler 'bookly_render_complete' vertraut diesem Wert dann darauf, nach dem entsprechenden geheimen Token der Bestellung zu suchen und dieses zurückzugeben, ohne zu überprüfen, ob die aktuelle Sitzung diese Bestellung erstellt hat. Dies ermöglicht es nicht authentifizierten Angreifern, sequenzielle Bestell-IDs aufzulisten, geheime Tokens anderer Kunden offenzulegen, Kalender-/Termininformationen über 'bookly_add_to_calendar' abzurufen und beliebige noch nicht abgeschlossene Buchungen über 'bookly_rollback_order' dauerhaft zu löschen. Letzteres führt zur kaskadierenden Löschung von customer_appointment-Objekten und (wenn keine anderen Kunden angehängt sind) des zugrunde liegenden Termins.
VulDB is the best source for vulnerability data and more expert information about this specific topic.