CVE-2026-2520
ŚrednieCVSS 5.4Streszczenie
Wtyczka Bookly dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'updateAddon' we wszystkich wersjach do 27.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym aktualizację dowolnej wtyczki z głównym plikiem 'main.php' do najnowszej wersji.
Ocena ryzyka
Atakujący może nieautoryzowanie aktualizować wtyczki, co może prowadzić do wprowadzenia niekompatybilnych wersji lub wykorzystania luk w nowych wersjach. Może to również naruszyć integralność i dostępność witryny.
Rekomendacja
Zaleca się aktualizację wtyczki Bookly do najnowszej wersji, która zawiera poprawkę. Należy również ograniczyć uprawnienia użytkowników do minimum i monitorować aktywność wtyczek.
Inne podatności w Bookly
Zobacz wszystkie- CVE-2026-89063Wysokie
Wtyczka Online Scheduling and Appointment Booking System – Bookly dla WordPressa w wersjach do 28.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'conversation_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczyt pełnego transkryptu rozmowy AI dowolnego klienta — ujawniając imiona, adresy e-mail, numery telefonów i szczegóły wizyt — oraz wstrzykiwanie dowolnych wiadomości do rozmowy ofiary. Ponieważ rozmowy AI są przechowywane bez identyfikatora właściciela, użytkownika lub sesji, a identyfikatory rozmów są kolejnymi liczbami całkowitymi, atakujący może wyliczyć wszystkie rozmowy klientów, zwiększając parametr conversation_id.
- CVE-2026-61944Wysokie
Wtyczka Bookly w wersji do 27.7 zawiera podatność na nieuwierzytelniony atak XSS (Cross Site Scripting). Niezalogowany atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2026-61949Krytyczne
Wtyczka Bookly w wersjach do 27.7 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-13424Wysokie
Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Stored Cross-Site Scripting przez akcję AJAX bookly_speed_up_update_addons. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy administrator odwiedzi stronę Diagnostyka → Logi.
- CVE-2026-12905Średnie
Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Insecure Direct Object Reference w metodzie appointment() API Mobile Staff Cabinet. Obsługa ładuje wizytę na podstawie parametru id bez weryfikacji, czy staff_id wizyty odpowiada uwierzytelnionemu pracownikowi. Uwierzytelnieni atakujący z dostępem do mobilnego panelu pracownika mogą odczytać szczegóły wizyt innych pracowników, w tym notatki i dane klientów, poprzez enumerację identyfikatorów.
- CVE-2026-42667Wysokie
W wersjach Bookly do 27.4 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-5513Wysokie
Wtyczka Bookly dla WordPress w wersji do 27.2 zawiera lukę Stored XSS w ciasteczku 'bookly-customer-full-name'. Niezautoryzowany atakujący może wstrzyknąć skrypty, które wykonają się, gdy administrator odwiedzi zainfekowaną stronę. Wymaga włączenia opcji 'Zapamiętaj dane osobowe w ciasteczkach' (domyślnie wyłączona).
Oryginalny opis (angielski, źródło NVD)
The Online Scheduling and Appointment Booking System – Bookly plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'updateAddon' function in all versions up to, and including, 27.2. This makes it possible for authenticated attackers, with Subscriber-level access and above, to update any plugin with a main file of 'main.php' to its latest version.