CVE-2026-93399 in Bookly Plugin
Riassunto
di VulDB • 25/09/2026
Il plugin Bookly per WordPress è vulnerabile a Insecure Direct Object Reference nelle versioni fino alla 28.2, incluse, tramite le azioni AJAX 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' e 'bookly_rollback_order'. Ciò è dovuto al fatto che il gestore di 'bookly_get_form_id' memorizza acriticamente l'order_id controllato dall'attaccante, proveniente dal form_data inviato, in una nuova sessione di prenotazione; tale ordine viene poi considerato attendibile dal gestore di 'bookly_render_complete', che lo utilizza per cercare e restituire il token segreto dell'ordine corrispondente senza verificare se la sessione corrente abbia effettivamente creato quell'ordine. Ciò consente ad attaccanti non autenticati di enumerare gli ID degli ordini in sequenza, divulgare i token degli ordini di altri clienti, recuperare informazioni su calendari/appuntamenti tramite 'bookly_add_to_calendar' ed eliminare permanentemente prenotazioni arbitrarie non completate tramite 'bookly_rollback_order', con una cancellazione a cascata che elimina la customer_appointment e (quando nessun altro cliente è associato) l'appuntamento sottostante.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.