CVE-2026-89063

Nome do Software Vulnerável e Versões Afetadas Bookly versões anteriores a 28.2

Descrição Existe uma Referência Direta a Objeto Insegura (IDOR) devido à falta de validação em uma chave controlada pelo usuário. Atacantes não autenticados podem enumerar conversas de clientes incrementando o parâmetro conversation id, pois esses IDs são inteiros sequenciais e carecem de identificadores de proprietário, usuário ou sessão. Isso permite que atacantes leiam transcrições completas de conversas de agendamento por IA, vazando dados sensíveis como nomes, endereços de e-mail, números de telefone e detalhes de agendamentos. Além disso, atacantes podem injetar mensagens arbitrárias em conversas de vítimas, que são posteriormente reproduzidas para o trabalhador de IA na nuvem junto com o histórico privado.

Recomendações Atualize o Bookly para a versão 28.2 ou posterior. Como mitigação temporária, restrinja o acesso à funcionalidade que utiliza o parâmetro conversation id.