CVE-2026-89063 in Bookly Plugin
Riassunto
di VulDB • 16/09/2026
Il plugin Bookly per WordPress, parte del sistema di pianificazione online e prenotazione degli appuntamenti (Online Scheduling and Appointment Booking System), è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 28.1 inclusa, tramite il parametro 'conversation_id' a causa della mancanza di validazione su una chiave controllata dall’utente. Ciò consente ad attaccanti non autenticati di leggere la cronologia completa delle conversazioni AI relative alle prenotazioni di qualsiasi cliente — rivelando nomi, indirizzi email, numeri di telefono e dettagli degli appuntamenti restituiti dall’assistente virtuale — nonché di iniettare messaggi arbitrari in qualsiasi conversazione della vittima, che verranno successivamente riprodotti al worker dell’intelligenza artificiale cloud insieme all’intera cronologia privata. Poiché le conversazioni AI sono memorizzate senza identificatore di proprietario, utente o sessione e gli ID delle conversazioni sono interi sequenziali, un attaccante non autenticato può enumerare tutte le conversazioni dei clienti semplicemente incrementando il parametro conversation_id.
If you want to get best quality of vulnerability data, you may have to visit VulDB.