CVE-2026-89063 in Bookly Plugin
要約
〜によって VulDB • 2026年09月17日
WordPress用プラグイン「Online Scheduling and Appointment Booking System – Bookly」には、28.1以前の全バージョンにおいて、Insecure Direct Object Reference（IDOR）の脆弱性が存在します。これは、ユーザーが制御可能なキーに対する検証処理が欠落しているため、「conversation_id」パラメータ経由で発生します。これにより、認証されていない攻撃者は、すべての顧客のAI予約会話の完全なトランスクリプトを読み取ることが可能になり、アシスタントによって出力された名前、メールアドレス、電話番号、および予約詳細といった機微情報が漏洩します。さらに、任意の被害者の会話に不正なメッセージを挿入し、それらをCloud AIワーカーに対してフルプライベート履歴とともに再送信（リプレイ）することも可能です。AI会話は所有者、ユーザー、またはセッション識別子なしで保存されており、会話IDは連番の整数であるため、認証されていない攻撃者はconversation_idパラメータを増分させることで、すべての顧客の会話を列挙することが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.