CVE-2026-89063 PoC — Online Scheduling 28.1 越权访问与注入漏洞
关联漏洞
标题:
Online Scheduling 28.1 越权访问与注入漏洞
(CVE-2026-89063)
Description:WordPress 插件“在线排程与预约系统 – Bookly”（版本 28.1 及更早的所有版本）存在不安全的直接对象引用（IDOR）漏洞。该漏洞由对由用户控制的“conversation_id”参数缺乏有效验证所致。
这一漏洞使得未经身份验证的攻击者能够：
1. **读取任意客户的完整 AI 预约对话记录**，从而泄露客户的姓名、电子邮件地址、电话号码以及由 AI 助手回显的预约详情；
2. **向任意受害者的对话中注入任意消息**，这些注入的消息随后将与完整的私有历史一并重放至云端 AI 工作进程（Cloud AI worker）。
由于 AI 对话在存储时未绑定任何所有者、用户或会话标识符，且对话 ID 采用连续整数形式，未经身份验证的攻击者只需递增“conversation_id”参数，即可枚举并访问所有客户的对话内容。
Description
Bookly WordPress plugin <= 28.1 contains an insecure direct object reference caused by missing validation on 'conversation_id' parameter, letting unauthenticated attackers read and inject messages into any AI booking conversation, exploit requires no authentication.
文件快照
备注
1. 建议优先通过来源进行访问。
2. 本地 POC 快照面向订阅用户开放；当原始来源失效或无法访问时，本地镜像作为订阅权益的一部分提供。
3. 持续抓取、验证、维护这份 POC 档案需要不少投入，因此本地快照已纳入付费订阅。您的订阅是让这份资料能继续走下去的关键，由衷感谢。 查看订阅方案 →