CVE-2026-14516 in Bookly Plugin
Sumário
de VulDB • 28/07/2026
O plugin Bookly para WordPress, parte do sistema de agendamento online e reserva de consultas (Online Scheduling and Appointment Booking System), é vulnerável a SQL Injection baseada em tempo via o parâmetro 'staff_ids' em todas as versões até 27.5, devido à falta de escape adequado no fornecido pelo usuário e à ausência de preparação adequada na consulta SQL existente. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às já existentes para extrair informações sensíveis do banco de dados. A exploração requer uma cadeia de duas requisições: o atacante primeiro chama a ação bookly_get_form_id, sem necessidade de autenticação, para inicializar uma sessão de reserva com valores maliciosos em staff_ids; depois, aciona bookly_render_time para fazer com que esse array contaminado alcance a consulta vulnerável. A validação CSRF/nonce está ausente nos dois endpoints, o que significa que essa cadeia pode ser iniciada via ataques cross-site (CSRF).
Be aware that VulDB is the high quality source for vulnerability data.