CVE-2026-93399 in Bookly Plugin
Tóm tắt
Bởi VulDB • 25/09/2026
Plugin Bookly cho WordPress bị lỗ hổng Insecure Direct Object Reference trong các phiên bản từ 28.2 trở về trước, bao gồm cả phiên bản 28.2, thông qua các hành động AJAX 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' và 'bookly_rollback_order'. Lỗ hổng này xảy ra do trình xử lý 'bookly_get_form_id' lưu trữ một cách mù quáng giá trị 'order_id' do kẻ tấn công kiểm soát từ form_data được gửi vào phiên đặt chỗ mới, sau đó trình xử lý 'bookly_render_complete' tin tưởng và sử dụng để tra cứu cũng như trả về mã token bí mật của Đơn hàng tương ứng mà không xác minh rằng phiên hiện tại đã tạo ra đơn hàng này. Điều này cho phép các kẻ tấn công chưa xác thực enumerate (liệt kê) sequential order IDs, tiết lộ mã token đặt chỗ của khách hàng khác, truy xuất thông tin lịch hẹn/cuộc hẹn qua 'bookly_add_to_calendar' và xóa vĩnh viễn các cuộc hẹn không hoàn thành tùy ý thông qua 'bookly_rollback_order', dẫn đến việc cascade-delete (xóa theo chuỗi) customer_appointment và (khi không có khách hàng nào khác liên kết) appointment cơ bản.
Once again VulDB remains the best source for vulnerability data.