CVE-2026-86838
ŚrednieCVSS 5.3Streszczenie
Wtyczka Bookly dla WordPress przed wersją 28.3 nie waliduje po stronie serwera wartości ilości rezerwacji podanych przez klienta przed obliczeniem sumy wizyty. Umożliwia to nieuwierzytelnionym użytkownikom obniżenie sumy do zera i rezerwację płatnych usług za darmo z pominięciem etapu płatności.
Ocena ryzyka
Nieuwierzytelniony atakujący może zarezerwować płatne usługi bez ponoszenia kosztów, co prowadzi do strat finansowych i nadużyć. Podatność nie wymaga logowania i może być łatwo wykorzystana masowo.
Rekomendacja
Zaktualizuj wtyczkę Bookly do wersji 28.3 lub nowszej. Wdróż dodatkową walidację ilości rezerwacji po stronie serwera.
Inne podatności w Bookly WordPress plugin
Zobacz wszystkie- CVE-2026-86837Średnie
Wtyczka Bookly dla WordPressa w wersjach przed 28.3 nie weryfikuje prawidłowo tożsamości klienta przed aktualizacją jego zapisanych danych. Umożliwia to nieuwierzytelnionym atakującym, którzy znają główny identyfikator klienta, nadpisanie jego danych osobowych, takich jak imię i nazwisko, e-mail oraz adres.
- CVE-2026-92799Średnie
Wtyczka Bookly dla WordPressa (wersje do 28.2 włącznie) jest podatna na obejście autoryzacji poprzez manipulację typami PHP. Z powodu użycia luźnego operatora nierówności w funkcji weryfikującej kod jednorazowy oraz braku ochrony CSRF i uwierzytelnienia w kontrolerze AJAX, nieuwierzytelniony atakujący może obejść weryfikację własności telefonu/e-mail i nadpisać dane dowolnego klienta Bookly.
Oryginalny opis (angielski, źródło NVD)
The Bookly WordPress plugin before 28.3 does not validate client-supplied booking quantity values on the server before computing the appointment total, allowing unauthenticated users to reduce the total to zero and book paid services for free while bypassing the payment step.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS