CVE-2026-92799

Nome do Software Vulnerável e Versões Afetadas Online Scheduling and Appointment Booking System – Bookly versões anteriores a 28.3

Descrição Existe uma falha de bypass de autorização devido ao PHP Type Juggling, uma condição em que o PHP converte uma variável de um tipo de dado para outro durante uma comparação. A função postValidateCustomer() utiliza um operador de desigualdade solta (!=) para comparar um código de verificação armazenado na sessão com o parâmetro verification code. Como o canal de entrada json data utiliza json decode(), um invasor pode enviar um valor booleano true, que satisfaz a comparação solta contra o código inteiro não zero, ignorando a guarda de verificação. Este problema é agravado pelo fato de o controlador AJAX de reserva registrar métodos como manipuladores wp ajax nopriv e sobrescrever csrfTokenValid() para retornar sempre verdadeiro, deixando o endpoint não autenticado e desprotegido contra Cross-Site Request Forgery (CSRF). Consequentemente, invasores não autenticados podem ignorar a verificação de propriedade de telefone ou e-mail para sobrescrever os campos de nome, e-mail, telefone e endereço de qualquer registro de cliente existente, redirecionando as notificações de reserva para seus próprios dados de contato.

Recomendações Atualize o Online Scheduling and Appointment Booking System – Bookly para uma versão posterior à 28.2.