CVE-2026-103365
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na ujawnienie wrażliwych informacji przez klasyczny formularz rezerwacji w kroku Details. Endpoint bookly_render_details jest zarejestrowany dla wp_ajax i wp_ajax_nopriv, moduł nadpisuje csrfTokenValid() aby zawsze zwracał true, a funkcja getCodes() ładuje encję Customer kluczowaną wyłącznie przez podany przez atakującego telefon (lub email) bez wywołania predykatu customerIdentityConfirmed(). Gdy właściciel strony umieścił placeholdery {client_name}, {client_email}, {client_phone} lub {client_note} w tekście informacyjnym kroku Details, dane przechowywanego klienta są podstawiane do zwracanego HTML.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany odczyt danych osobowych klientów, co może naruszać przepisy o ochronie danych i prowadzić do utraty zaufania.
Rekomendacja
Zaleca się aktualizację wtyczki Bookly do najnowszej wersji z poprawką. Należy również rozważyć usunięcie wrażliwych placeholderów z formularzy i wzmocnienie mechanizmów uwierzytelniania.
Inne podatności w Bookly
Zobacz wszystkie- CVE-2026-96348Wysokie
Podatność Broken Access Control w wtyczce Bookly w wersjach do 28.2, która może być wykorzystana bez uwierzytelnienia.
- CVE-2026-96347Średnie
Podatność na Insecure Direct Object References (IDOR) w wtyczce Bookly w wersjach do 28.2. Użytkownik o roli Subscriber może uzyskać dostęp do nieautoryzowanych zasobów.
- CVE-2026-2520Średnie
Wtyczka Bookly dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'updateAddon' we wszystkich wersjach do 27.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym aktualizację dowolnej wtyczki z głównym plikiem 'main.php' do najnowszej wersji.
- CVE-2026-61944Wysokie
Wtyczka Bookly w wersji do 27.7 zawiera podatność na nieuwierzytelniony atak XSS (Cross Site Scripting). Niezalogowany atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2026-93399Krytyczne
Wtyczka Bookly dla WordPressa (do wersji 28.2 włącznie) jest podatna na niezabezpieczone odwołanie do obiektu (IDOR) poprzez akcje AJAX 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' i 'bookly_rollback_order'. Handler 'bookly_get_form_id' zapisuje kontrolowane przez atakującego 'order_id' do nowej sesji rezerwacji, a 'bookly_render_complete' ufa mu i zwraca token zamówienia bez weryfikacji właściciela sesji. Umożliwia to nieuwierzytelnionym atakującym wyliczanie identyfikatorów zamówień, ujawnianie tokenów innych klientów, pobieranie informacji o kalendarzu/wizytach oraz trwałe usuwanie rezerwacji.
- CVE-2026-61949Krytyczne
Wtyczka Bookly w wersjach do 27.7 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-12626Wysokie
Wtyczka Bookly dla WordPressa jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych z parametru 'value' w wersjach do 28.2 włącznie. Uwierzytelniony atakujący z dostępem na poziomie custom i wyższym może wstrzyknąć obiekt PHP, ale nie jest znany łańcuch gadżetów.
- CVE-2026-104898Średnie
Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'id, wp_user_id' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą nadpisać powiązanie konta WordPress dla dowolnego rekordu personelu Bookly, w tym należącego do administratorów, skutecznie przejmując powiązanie konta pracownika o wyższych uprawnieniach i eskalując przywileje.
- CVE-2026-89063Wysokie
Wtyczka Online Scheduling and Appointment Booking System – Bookly dla WordPressa w wersjach do 28.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'conversation_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczyt pełnego transkryptu rozmowy AI dowolnego klienta — ujawniając imiona, adresy e-mail, numery telefonów i szczegóły wizyt — oraz wstrzykiwanie dowolnych wiadomości do rozmowy ofiary. Ponieważ rozmowy AI są przechowywane bez identyfikatora właściciela, użytkownika lub sesji, a identyfikatory rozmów są kolejnymi liczbami całkowitymi, atakujący może wyliczyć wszystkie rozmowy klientów, zwiększając parametr conversation_id.
- CVE-2026-13424Wysokie
Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Stored Cross-Site Scripting przez akcję AJAX bookly_speed_up_update_addons. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy administrator odwiedzi stronę Diagnostyka → Logi.
Oryginalny opis (angielski, źródło NVD)
The Bookly – Online Scheduling and Appointment Booking System plugin for WordPress is vulnerable to Sensitive Information Exposure in versions up to, and including, 28.4 via the classic booking form's Details step. The endpoint bookly_render_details is registered for both wp_ajax and wp_ajax_nopriv, the module overrides csrfTokenValid() to always return true, and Bookly\Frontend\Components\Booking\InfoText::getCodes() calls UserBookingData::getCustomer() to load the persisted Customer entity keyed solely by the attacker-supplied phone (or email) with no invocation of the plugin's own customerIdentityConfirmed() predicate. When a site owner has placed the supported {client_name}, {client_email}, {client_phone}, or {client_note} placeholders into the Details step's Appearance information text, the matched customer's stored name, email, phone and internal notes are substituted into the returned HTML. This makes it possible for unauthenticated attackers who know only a registered customer's primary phone (or email) to read that customer's stored personal data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS