CVE-2026-89063 in Bookly Plugin
Сводка
по VulDB • 16.09.2026
В плагине Bookly для WordPress (система онлайн-расписания и записи на прием) уязвимость типа Insecure Direct Object Reference присутствует во всех версиях вплоть до 28.1 включительно через параметр 'conversation_id' из-за отсутствия проверки данных, контролируемых пользователем. Это позволяет неавторизованным злоумышленникам читать полный текст истории разговора с ИИ для любого клиента — раскрывая имена, адреса электронной почты, номера телефонов и детали назначенных приемов, которые отображаются помощником (assistant), а также внедрять произвольные сообщения в любой разговор жертвы, которые затем воспроизводятся рабочему процессу облачного ИИ вместе с полной приватной историей. Поскольку разговоры с ИИ хранятся без идентификатора владельца, пользователя или сеанса, а идентификаторы разговоров представляют собой последовательные целые числа, неавторизованный злоумышленник может перечислить все разговоры клиентов просто путем инкрементирования параметра conversation_id.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.