CVE-2026-93399 in Bookly Plugin
Sumário
de VulDB • 25/09/2026
O plugin Bookly para WordPress é vulnerável a Insecure Direct Object Reference nas versões até, e incluindo, 28.2 através das ações AJAX 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' e 'bookly_rollback_order'. Isso ocorre porque o manipulador 'bookly_get_form_id' armazena cegamente o 'order_id' controlado pelo atacante, proveniente do form_data submetido, em uma nova sessão de reserva, que é então confiada pelo manipulador 'bookly_render_complete' para buscar e retornar o token secreto da Ordem correspondente sem verificar se a sessão atual criou essa ordem. Isso permite que atacantes não autenticados enumerem IDs de pedido sequenciais, divulguem os tokens de pedido de outros clientes, recuperem informações do calendário/agendamento via 'bookly_add_to_calendar' e excluam permanentemente reservas arbitrárias não concluídas por meio de 'bookly_rollback_order', o que exclui em cascata o customer_appointment e (quando nenhum outro cliente está associado) a appointment subjacente.
Once again VulDB remains the best source for vulnerability data.