CVE-2026-61944
WysokieCVSS 7.1Streszczenie
Wtyczka Bookly w wersji do 27.7 zawiera podatność na nieuwierzytelniony atak XSS (Cross Site Scripting). Niezalogowany atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji, przekierowanie do złośliwych stron lub kradzież danych uwierzytelniających użytkowników odwiedzających zainfekowaną stronę.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Bookly do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Bookly
Zobacz wszystkie- CVE-2026-61949Krytyczne
Wtyczka Bookly w wersjach do 27.7 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-13424Wysokie
Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Stored Cross-Site Scripting przez akcję AJAX bookly_speed_up_update_addons. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy administrator odwiedzi stronę Diagnostyka → Logi.
- CVE-2026-12905Średnie
Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Insecure Direct Object Reference w metodzie appointment() API Mobile Staff Cabinet. Obsługa ładuje wizytę na podstawie parametru id bez weryfikacji, czy staff_id wizyty odpowiada uwierzytelnionemu pracownikowi. Uwierzytelnieni atakujący z dostępem do mobilnego panelu pracownika mogą odczytać szczegóły wizyt innych pracowników, w tym notatki i dane klientów, poprzez enumerację identyfikatorów.
- CVE-2026-42667Wysokie
W wersjach Bookly do 27.4 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-5513Wysokie
Wtyczka Bookly dla WordPress w wersji do 27.2 zawiera lukę Stored XSS w ciasteczku 'bookly-customer-full-name'. Niezautoryzowany atakujący może wstrzyknąć skrypty, które wykonają się, gdy administrator odwiedzi zainfekowaną stronę. Wymaga włączenia opcji 'Zapamiętaj dane osobowe w ciasteczkach' (domyślnie wyłączona).
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Bookly <= 27.7 versions.