CVE-2026-93399 in Bookly Plugin
요약
\~에 의해 VulDB • 2026. 09. 25.
WordPress용 Bookly 플러그인은 28.2 버전(포함) 이하에서 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' 및 'bookly_rollback_order' AJAX 작업을 통해 부직접 객체 참조(Insecure Direct Object Reference, IDOR) 취약점이 존재합니다. 이는 'bookly_get_form_id' 핸들러가 제출된 form_data에서 공격자가 제어할 수 있는 'order_id'를 새 예약 세션에 무조건적으로 저장하고, 이어서 'bookly_render_complete' 핸들러가 해당 order_id를 신뢰하여 현재 세션이 해당 주문을 생성했는지 검증하지 않고 대응하는 Order의 비밀 토큰을 조회 및 반환하기 때문입니다. 이로 인해 인증되지 않은 공격자가 순차적인 주문 ID를 열거하고, 다른 고객의 주문 토큰을 유출하며, 'bookly_add_to_calendar'을 통해 캘린더/예약 정보를 검색할 수 있고, 'bookly_rollback_order'를 통해 임의의 미완료 예약을 영구적으로 삭제할 수 있습니다. 이 과정에서 customer_appointment가 캐스케이드 방식으로 삭제되며(다른 고객이 연결되어 있지 않은 경우), 하위 appointment도 함께 삭제됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.