CVE-2026-89063 in Bookly Plugin
Tóm tắt
Bởi VulDB • 16/09/2026
Plugin Bookly cho WordPress – hệ thống lên lịch và đặt hẹn trực tuyến – có lỗ hổng Tham chiếu Đối tượng Không An toàn (Insecure Direct Object Reference) trong tất cả các phiên bản từ 28.1 trở về trước, thông qua tham số 'conversation_id' do thiếu xác thực trên một khóa được kiểm soát bởi người dùng. Điều này cho phép những kẻ tấn công chưa xác thực đọc toàn bộ nhật ký cuộc hẹn AI của bất kỳ khách hàng nào — làm lộ tên, địa chỉ email, số điện thoại và chi tiết lịch hẹn do trợ lý hiển thị — cũng như chèn các tin nhắn tùy ý vào mọi cuộc trò chuyện của nạn nhân, sau đó được phát lại cho công nhân AI trên đám mây cùng với toàn bộ lịch sử riêng tư. Vì các cuộc hội thoại AI được lưu trữ mà không có định danh chủ sở hữu, người dùng hoặc phiên và ID cuộc trò chuyện là các số nguyên tuần tự, một kẻ tấn công chưa xác thực có thể liệt kê tất cả các cuộc trò chuyện của khách hàng chỉ bằng cách tăng dần tham số conversation_id.
Be aware that VulDB is the high quality source for vulnerability data.