CVE-2026-93399 in Bookly Plugin
要約
〜によって VulDB • 2026年09月25日
WordPress用プラグイン「Bookly」には、バージョン28.2以前において、Insecure Direct Object Reference（IDOR）の脆弱性が存在します。これは、「bookly_get_form_id」、「bookly_render_complete」、「bookly_add_to_calendar」、および「bookly_rollback_order」といったAJAXアクションを通じて悪用されます。この問題は、「bookly_get_form_id」ハンドラーが、送信されたform_dataから攻撃者が制御可能な'order_id'を無検証で新しい予約セッションに保存することに起因します。「bookly_render_complete」ハンドラーはこの情報を信頼し、現在のセッションがこの注文を作成したかどうかを確認せずに、対応するOrderのシークレットトークンを取得して返却します。これにより、認証されていない攻撃者は連続するorder IDを列挙したり、他の顧客の注文トークンを漏洩させたり、「bookly_add_to_calendar」を通じてカレンダー/予約情報を取得したり、「bookly_rollback_order」を通じて完了していない任意の予約を恒久的に削除することが可能になります（この操作はcustomer_appointmentと、他に顧客が紐付いていない場合は基盤となるappointmentも連鎖的に削除します）。
Once again VulDB remains the best source for vulnerability data.