CVE-2026-112838
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka VikRentCar zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt zapisany w aplikacji jest później wykonywany w przeglądarkach użytkowników.
Ocena ryzyka
Atakujący może zapisać złośliwy kod JavaScript, który wykona się w kontekście sesji innych użytkowników, w tym administratorów. Może to prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści witryny.
Rekomendacja
Zaktualizuj wtyczkę VikRentCar do wersji nowszej niż 1.4.8. Dodatkowo wdróż politykę Content Security Policy oraz sanityzację danych wejściowych.
Inne podatności w VikRentCar
Zobacz wszystkie- CVE-2026-112836Wysokie
W wtyczce VikRentCar (e4jvikwp) do wersji 1.4.8 występuje podatność Cross-Site Request Forgery (CSRF). Podatność pozwala na wykonanie niepożądanych działań w imieniu zalogowanego użytkownika.
- CVE-2026-115840Wysokie
Wtyczka VikRentCar dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'poplink' w wersjach do 1.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagany jest jedynie nonce WordPressa (vikwp_nonce), który wtyczka udostępnia nieuwierzytelnionym odwiedzającym na publicznej stronie potwierdzenia rezerwacji.
- CVE-2026-28160Wysokie
Wtyczka VikRentCar (e4jvikwp) do wersji 1.4.10 zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
- CVE-2026-116405Wysokie
Wtyczka VikRentCar w wersjach do 1.4.9 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2026-112835Wysokie
Wtyczka VikRentCar zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt jest odzwierciedlany w odpowiedzi serwera i wykonywany w przeglądarce ofiary.
- CVE-2026-39790Wysokie
Podatność typu Reflected XSS w wtyczce VikRentCar do WordPressa, wersje do 1.4.7 włącznie. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia odbity atak XSS.
- CVE-2026-52699Wysokie
W wersjach VikRentCar <= 1.4.5 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in e4jvikwp VikRentCar vikrentcar allows Stored XSS.This issue affects VikRentCar: from n/a through 1.4.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS