CVE-2026-12905

Nome do Software Vulnerável e Versões Afetadas Bookly versões anteriores a 27.8

Descrição Existe uma Referência Direta a Objeto Insegura (IDOR) na API do Mobile Staff Cabinet através da função appointment(). O problema ocorre porque o manipulador carrega um agendamento usando a variável params[id] sem verificar se o staff id do agendamento corresponde ao membro da equipe autenticado. Isso permite que invasores autenticados com acesso ao gabinete móvel de nível de equipe leiam detalhes de agendamentos pertencentes a outros membros da equipe através da enumeração de IDs sequenciais. As informações expostas incluem notas internas e a coleção customer appointments, que contém nomes completos de clientes, e-mails, telefones, notas, campos personalizados, extras, totais de pagamento, tipos de pagamento e status de pagamento. O endpoint da API afetado é identificado por resource=appointment e action=bookly mobile staff cabinet.

Recomendações Atualize o Bookly para a versão 27.8 ou posterior.