PT-2026-73082
CVE-2026-12905
·
تاريخ النشر
2026-08-15
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Bookly السابقة للإصدار 27.8
الوصف
يوجد مرجع مباشر غير آمن للكائنات في واجهة برمجة تطبيقات (API) Mobile Staff Cabinet عبر الدالة
appointment(). تحدث هذه المشكلة لأن المعالج يقوم بتحميل موعد باستخدام المتغير params[id] دون التحقق مما إذا كان staff id الخاص بالموعد يتطابق مع الموظف الذي تمت مصادقته. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول إلى Mobile Staff Cabinet على مستوى الموظفين بقراءة تفاصيل المواعيد الخاصة بموظفين آخرين عن طريق تعداد المعرفات المتسلسلة. وتشمل المعلومات المكشوفة الملاحظات الداخلية ومجموعة customer appointments، التي تحتوي على الأسماء الكاملة للعملاء، وعناوين البريد الإلكتروني، وأرقام الهواتف، والملاحظات، والحقول المخصصة، والإضافات، وإجماليات الدفع، وأنواع الدفع، وحالات الدفع. يتم تحديد نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة بواسطة resource=appointment وaction=bookly mobile staff cabinet.التوصيات
تحديث Bookly إلى الإصدار 27.8 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾