CVE-2026-104898

Podatność Broken Access Control w wtyczce Bookly w wersjach do 28.2, która może być wykorzystana bez uwierzytelnienia.

Podatność na Insecure Direct Object References (IDOR) w wtyczce Bookly w wersjach do 28.2. Użytkownik o roli Subscriber może uzyskać dostęp do nieautoryzowanych zasobów.

Wtyczka Bookly dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'updateAddon' we wszystkich wersjach do 27.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym aktualizację dowolnej wtyczki z głównym plikiem 'main.php' do najnowszej wersji.

Wtyczka Bookly w wersji do 27.7 zawiera podatność na nieuwierzytelniony atak XSS (Cross Site Scripting). Niezalogowany atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka Bookly dla WordPressa (do wersji 28.2 włącznie) jest podatna na niezabezpieczone odwołanie do obiektu (IDOR) poprzez akcje AJAX 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' i 'bookly_rollback_order'. Handler 'bookly_get_form_id' zapisuje kontrolowane przez atakującego 'order_id' do nowej sesji rezerwacji, a 'bookly_render_complete' ufa mu i zwraca token zamówienia bez weryfikacji właściciela sesji. Umożliwia to nieuwierzytelnionym atakującym wyliczanie identyfikatorów zamówień, ujawnianie tokenów innych klientów, pobieranie informacji o kalendarzu/wizytach oraz trwałe usuwanie rezerwacji.

Wtyczka Bookly w wersjach do 27.7 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.

Wtyczka Bookly dla WordPressa jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych z parametru 'value' w wersjach do 28.2 włącznie. Uwierzytelniony atakujący z dostępem na poziomie custom i wyższym może wstrzyknąć obiekt PHP, ale nie jest znany łańcuch gadżetów.

Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na ujawnienie wrażliwych informacji przez klasyczny formularz rezerwacji w kroku Details. Endpoint bookly_render_details jest zarejestrowany dla wp_ajax i wp_ajax_nopriv, moduł nadpisuje csrfTokenValid() aby zawsze zwracał true, a funkcja getCodes() ładuje encję Customer kluczowaną wyłącznie przez podany przez atakującego telefon (lub email) bez wywołania predykatu customerIdentityConfirmed(). Gdy właściciel strony umieścił placeholdery {client_name}, {client_email}, {client_phone} lub {client_note} w tekście informacyjnym kroku Details, dane przechowywanego klienta są podstawiane do zwracanego HTML.

Wtyczka Online Scheduling and Appointment Booking System – Bookly dla WordPressa w wersjach do 28.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'conversation_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczyt pełnego transkryptu rozmowy AI dowolnego klienta — ujawniając imiona, adresy e-mail, numery telefonów i szczegóły wizyt — oraz wstrzykiwanie dowolnych wiadomości do rozmowy ofiary. Ponieważ rozmowy AI są przechowywane bez identyfikatora właściciela, użytkownika lub sesji, a identyfikatory rozmów są kolejnymi liczbami całkowitymi, atakujący może wyliczyć wszystkie rozmowy klientów, zwiększając parametr conversation_id.

Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Stored Cross-Site Scripting przez akcję AJAX bookly_speed_up_update_addons. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy administrator odwiedzi stronę Diagnostyka → Logi.