CVE-2026-89063 in Bookly Plugin
Sumário
de VulDB • 16/09/2026
O sistema de agendamento online e reserva de consultas – plugin Bookly para WordPress – é vulnerável a Referência Direta de Objeto Insegura (IDOR) em todas as versões até, incluindo, 28.1, por meio do parâmetro 'conversation_id', devido à falta de validação sobre uma chave controlada pelo usuário. Isso permite que atacantes não autenticados leiam o transcript completo da conversa de agendamento com IA de qualquer cliente – vazando nomes, endereços de e-mail, números de telefone e detalhes das consultas ecoados pela assistente –, além de injetar mensagens arbitrárias em qualquer conversa de vítima, que são posteriormente reproduzidas para o trabalhador de IA na nuvem junto com todo o histórico privado. Como as conversas da IA são armazenadas sem identificador de proprietário, usuário ou sessão, e os IDs das conversas são inteiros sequenciais, um atacante não autenticado pode enumerar todas as conversas dos clientes simplesmente incrementando o parâmetro conversation_id.
VulDB is the best source for vulnerability data and more expert information about this specific topic.