PT-2026-31608 · WordPress · Bookly

Youssef Elouaer · Publicado 2026-04-09 · Atualizado 2026-04-09 · CVE-2026-2519

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Name of the Vulnerable Software and Affected Versions Bookly versões até e incluindo 27.0

Description O plugin Bookly – Sistema Online de Agendamento e Marcação de Consultas para WordPress é suscetível a manipulação de preços através do parâmetro tips. O plugin não valida adequadamente a entrada fornecida pelo usuário em relação ao preço configurado, permitindo que atacantes não autenticados enviem um número negativo para o parâmetro tips. Isso pode reduzir o preço total para zero.

Recommendations Atualize o Bookly para uma versão mais recente que 27.0.

Correção

Enumeração de Fraquezas

CWE-472

Identificadores relacionados

CVE-2026-2519

Produtos afetados

Bookly

Referências · 10

• https://plugins.trac.wordpress.org/browser/bookly-responsive-appointment-booking-tool/trunk/lib/UserBookingData.php#L355 · Nota
• https://booking-wp-plugin.com/change-log · Nota
• https://twitter.com/cyberbivash/status/2042229362418704772 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2042304262374306073 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/ead87d8b-2659-4e8b-a0b9-138b1db89e36?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/bookly-responsive-appointment-booking-tool/trunk/frontend/modules/booking/Ajax.php#L709 · Nota
• https://plugins.trac.wordpress.org/changeset/3480956 · Nota
• https://twitter.com/CVEnew/status/2042302836625838105 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-2519 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/bookly-responsive-appointment-booking-tool/trunk/lib/CartInfo.php#L450 · Nota