CVE-2026-11392
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametry 'check_in_date' i 'check_out_date' we wszystkich wersjach do 2.3.1 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć dowolny skrypt JavaScript, który wykona się w przeglądarce ofiary po kliknięciu przez nią spreparowanego linku. Może to prowadzić do kradzieży sesji, przekierowań do złośliwych stron lub kradzieży danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WP Hotel Booking do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub zastosuj reguły WAF blokujące podejrzane parametry.
Inne podatności w WP Hotel Booking
Zobacz wszystkie- CVE-2026-15152Średnie
Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.2 nie weryfikuje, czy powiadomienie o płatności odpowiada płatności dokonanej na konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą rezerwacji. Pozwala to nieuwierzytelnionym użytkownikom oznaczać swoje rezerwacje jako w pełni opłacone bez żadnej płatności na rzecz właściciela strony.
- CVE-2026-15149Średnie
Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.3 nie zapewnia, że ilości pokoi i wynikająca suma zamówienia są nieujemne podczas składania rezerwacji, i polega na danych koszyka kontrolowanych przez klienta. Pozwala to nieuwierzytelnionym użytkownikom tworzyć potwierdzone rezerwacje za darmo lub po dowolnie obniżonej cenie.
- CVE-2026-15464Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na Stored XSS przez atrybut 'widget_search' shortcode'u z powodu niedostatecznego oczyszczania danych. Atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, ale exploit działa tylko w przeglądarkach obsługujących klawisze dostępu (access keys).
- CVE-2026-15094Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'check_in_date' we wszystkich wersjach do 2.3.2 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i wyjściowych.
- CVE-2026-11901Średnie
Wtyczka WP Hotel Booking dla WordPressa do wersji 2.3.1 włącznie nie weryfikuje poprawnie autentyczności danych w handlerze IPN PayPal. Atakujący może wykorzystać parametr `test_ipn` do przekierowania walidacji na piaskownicę PayPal i wymusić zmianę statusu transakcji z 'oczekującej' na 'zakończoną' bez faktycznej płatności. Brakuje również sprawdzania unikalności `txn_id` oraz poprawności `receiver_email` i `mc_currency` po otrzymaniu odpowiedzi `VERIFIED`.
Oryginalny opis (angielski, źródło NVD)
The WP Hotel Booking plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'check_in_date' and 'check_out_date' parameters in all versions up to, and including, 2.3.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.