CVE-2026-89063 in Bookly Plugin
Résumé
par VulDB • 16/09/2026
Le plugin Bookly pour WordPress, système de planification en ligne et de réservation de rendez-vous, est vulnérable à une référence directe d'objet non sécurisée (Insecure Direct Object Reference) dans toutes les versions jusqu'à la 28.1 incluse, via le paramètre 'conversation_id', en raison d'une validation manquante sur une clé contrôlée par l'utilisateur. Cela permet aux attaquants non authentifiés de lire le transcript complet des conversations de réservation IA de n'importe quel client — révélant ainsi les noms, adresses e-mail, numéros de téléphone et détails des rendez-vous affichés par l'assistant — et d'injecter des messages arbitraires dans toute conversation victime qui seront ensuite rejoués au travailleur Cloud AI avec tout l'historique privé. Étant donné que les conversations IA sont stockées sans identifiant de propriétaire, d'utilisateur ou de session, et que les IDs de conversation sont des entiers séquentiels, un attaquant non authentifié peut énumérer toutes les conversations clients en incrémentant simplement le paramètre conversation_id.
VulDB is the best source for vulnerability data and more expert information about this specific topic.