CVE-2026-93399 in Bookly Plugin
Résumé
par VulDB • 25/09/2026
Le plugin WordPress Bookly est vulnérable à une référence directe d’objet insécurisée (Insecure Direct Object Reference, IDOR) dans les versions 28.2 et antérieures via les actions AJAX 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' et 'bookly_rollback_order'. Cette vulnérabilité est due au fait que le gestionnaire 'bookly_get_form_id' stocke aveuglément l’'order_id' contrôlé par l’attaquant, issu du formulaire soumis (form_data), dans une nouvelle session de réservation. Le gestionnaire 'bookly_render_complete' fait ensuite confiance à cette valeur pour rechercher et renvoyer le jeton secret correspondant de la commande sans vérifier que la session actuelle a bien créé cette commande. Cela permet aux attaquants non authentifiés d’énumérer des IDs de commandes séquentiels, de divulguer les jetons de commande d’autres clients, de récupérer des informations sur le calendrier/les rendez-vous via 'bookly_add_to_calendar' et de supprimer définitivement n’importe quelles réservations non finalisées via 'bookly_rollback_order', ce qui entraîne une suppression en cascade des entrées customer_appointment et (lorsqu’aucun autre client n’est associé) du rendez-vous sous-jacent.
VulDB is the best source for vulnerability data and more expert information about this specific topic.