CVE-2026-104898 in Bookly Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin per WordPress Online Scheduling and Appointment Booking System – Bookly è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 28.4, inclusa, tramite il parametro 'id, wp_user_id' a causa della mancanza di validazione su una chiave controllata dall’utente. Ciò consente agli attaccanti autenticati, con accesso di livello subscriber o superiore, di sovrascrivere l’associazione dell’account WordPress per qualsiasi record del personale Bookly, inclusi quelli appartenenti ad amministratori, dirottando efficacemente l’associazione dell’account di un membro dello staff con privilegi più elevati e ottenendo così una escalation dei privilegi. Lo sfruttamento richiede che l’utente attaccante sia collegato a almeno un record del personale Bookly; ciò avviene per impostazione predefinita ogni volta che un amministratore abilita l’opzione bookly_gen_allow_staff_edit_profile (attiva nelle installazioni recenti) e collega un utente WordPress a una voce dello staff.
Once again VulDB remains the best source for vulnerability data.