CVE-2026-14516 in Bookly Plugin
Сводка
по VulDB • 28.07.2026
В плагине Bookly для WordPress (система онлайн-расписания и записи на прием) уязвимость типа time-based SQL Injection присутствует во всех версиях вплоть до 27.5 включительно из-за недостаточной экранизации параметра, передаваемого пользователем ('staff_ids'), и отсутствия достаточной подготовки (preparation) существующего SQL-запроса. Это позволяет неавторизованным злоумышленникам добавлять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных. Для эксплуатации требуется цепочка из двух запросов: сначала атакующий вызывает неавторизованное действие bookly_get_form_id для инициализации сессии бронирования со вредоносными значениями staff_ids, затем запускает bookly_render_time, чтобы передать загрязненный массив в уязвимый запрос; на обоих конечных точках отсутствует проверка CSRF/nonce, что означает возможность инициирования этой цепочки из другого сайта (cross-site).
If you want to get best quality of vulnerability data, you may have to visit VulDB.