CVE-2026-5513
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Bookly dla WordPress w wersji do 27.2 zawiera lukę Stored XSS w ciasteczku 'bookly-customer-full-name'. Niezautoryzowany atakujący może wstrzyknąć skrypty, które wykonają się, gdy administrator odwiedzi zainfekowaną stronę. Wymaga włączenia opcji 'Zapamiętaj dane osobowe w ciasteczkach' (domyślnie wyłączona).
Ocena ryzyka
Atakujący może wykraść sesje administratora, przekierować użytkowników lub wykonać inne złośliwe działania w kontekście panelu administracyjnego WordPress.
Rekomendacja
Zaktualizuj wtyczkę Bookly do najnowszej wersji. Wyłącz opcję 'Zapamiętaj dane osobowe w ciasteczkach', jeśli nie jest wymagana.
Inne podatności w Bookly
Zobacz wszystkie- CVE-2026-61944Wysokie
Wtyczka Bookly w wersji do 27.7 zawiera podatność na nieuwierzytelniony atak XSS (Cross Site Scripting). Niezalogowany atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2026-61949Krytyczne
Wtyczka Bookly w wersjach do 27.7 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-13424Wysokie
Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Stored Cross-Site Scripting przez akcję AJAX bookly_speed_up_update_addons. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy administrator odwiedzi stronę Diagnostyka → Logi.
- CVE-2026-12905Średnie
Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Insecure Direct Object Reference w metodzie appointment() API Mobile Staff Cabinet. Obsługa ładuje wizytę na podstawie parametru id bez weryfikacji, czy staff_id wizyty odpowiada uwierzytelnionemu pracownikowi. Uwierzytelnieni atakujący z dostępem do mobilnego panelu pracownika mogą odczytać szczegóły wizyt innych pracowników, w tym notatki i dane klientów, poprzez enumerację identyfikatorów.
- CVE-2026-42667Wysokie
W wersjach Bookly do 27.4 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
The Online Scheduling and Appointment Booking System – Bookly plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'bookly-customer-full-name' cookie in versions up to, and including, 27.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires 'Remember personal information in cookies' setting to be enabled (disabled by default).