漏洞速览
- 漏洞编号：
CVE-2026-89063 - 风险评分：
7.5（高危） - 首次披露：2026-09-15
- 最近更新：2026-09-15
- 软件类型：插件
- 软件标识：
bookly-responsive-appointment-booking-tool - 受影响版本：<= 28.1
- 修复版本：28.2
- 是否已修复：是
漏洞详情
WordPress插件"Online Scheduling and Appointment Booking System – Bookly"在28.1及之前所有版本中存在不安全的直接对象引用漏洞，问题出在conversation_id参数上，由于缺少对用户可控键的验证。攻击者无需认证即可读取任意客户的完整AI预约对话记录，其中包含姓名、电子邮件地址、电话号码以及助手回复中涉及的预约详情，同时还能向任意受害者的对话中注入任意消息，这些消息会连同完整私密历史记录一并提交给云端AI工作者处理。由于AI对话未绑定任何所有者、用户或会话标识符，且对话ID为顺序整数，攻击者只需递增conversation_id参数即可枚举并访问所有客户的对话内容。
影响与风险
- 漏洞类型：Insecure Direct Object Reference to Unauthenticated Sensitive Data Access and Message Injection via 'conversation_id' Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：jtb75 – NG20 LLC
修复建议
- 按官方建议执行修复：更新至 28.2 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
