CVE-2026-12905
Açıklama
WordPress için geliştirilen Bookly eklentisinin 27.7 ve önceki sürümleri, frontend/modules/mobile_staff_cabinet/api/handlers/Handler1_0.php dosyasındaki Mobile Staff Cabinet API'sinin appointment() metodu (resource=appointment, action=bookly_mobile_staff_cabinet) üzerinden Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum, ilgili işleyicinin, randevunun staff_id değerinin kimliği doğrulanmış personel üyesiyle eşleştiğini doğrulamadan, saldırgan tarafından sağlanan params[id] ile bir Randevu yüklemesinden kaynaklanmaktadır; oysa benzer işlemler (deleteAppointment, saveAppointment, appointments list), $this->role === ROLE_STAFF olduğunda doğru şekilde $this->staff->getId() kapsamını kullanmaktadır. Bu durum, personel düzeyinde mobil kabin erişimine sahip (bir Personel varlığına bağlı herhangi bir geçerli access_key belirteci olan) kimliği doğrulanmış saldırganların, ardışık randevu kimliklerini sıralayarak diğer personel üyelerine ait dahili notlar ve tam customer_appointments koleksiyonu (müşteri full_name, email, phone, notes, custom_fields, extras, payment_total, payment_type, payment_status) dahil olmak üzere randevu ayrıntılarını okumasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ladela Online Scheduling and Appointment Booking System – Bookly | v ≤ 27.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.