CVE-2026-12754
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na odbite ataki typu Cross-Site Scripting (XSS) poprzez parametr 'layoutstyle' we wszystkich wersjach do 1.8.12 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć dowolny skrypt JavaScript, który wykona się w przeglądarce ofiary po kliknięciu w spreparowany link. Ryzyko obejmuje kradzież sesji, przekierowania do złośliwych stron lub kradzież danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę VikBooking do wersji nowszej niż 1.8.12, gdy tylko producent udostępni łatkę. Do czasu aktualizacji zaleca się tymczasowe wyłączenie shortcodu [vikbooking view="roomslist"] lub ograniczenie dostępu do stron go używających.
Inne podatności w VikBooking Hotel Booking Engine & PMS
Zobacz wszystkie- CVE-2026-42762Wysokie
W podatności CVE-2026-42762 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w silniku rezerwacji hotelowych VikBooking. Problem ten dotyczy wersji od n/a do 1.8.9 włącznie.
- CVE-2026-42737Wysokie
W podatności CVE-2026-42737 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu Path Traversal w silniku rezerwacji hotelowych VikBooking. Problem dotyczy wersji od n/a do 1.8.9 włącznie.
- CVE-2026-15401Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa do wersji 1.8.13 włącznie jest podatna na przechowywany atak XSS przez parametr 'vbfX' z powodu niedostatecznej sanityzacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonują się przy dostępie użytkownika.
- CVE-2026-15346Średnie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na Refleksyjny XSS przez parametr 'category_id' we wszystkich wersjach do 1.8.13 włącznie. Atakujący może wstrzyknąć dowolny skrypt, który wykona się po kliknięciu linku przez ofiarę, ale tylko w przeglądarkach obsługujących klawisze dostępu.
- CVE-2026-6818Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress jest podatna na przechowywany atak XSS przez parametr 'special_requests' w wersjach do 1.8.8 włącznie. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-57723Wysokie
Podatność CSRF w VikBooking Hotel Booking Engine & PMS umożliwia atakującemu wykonanie operacji prowadzących do przejścia ścieżki (Path Traversal). Luka występuje we wszystkich wersjach do 1.8.12 włącznie.
- CVE-2026-42683Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa (wersje do 1.8.8) zawiera podatność na DOM-Based Cross-Site Scripting (XSS) poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
The VikBooking Hotel Booking Engine & PMS plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'layoutstyle' parameter in all versions up to, and including, 1.8.12 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Exploitation requires the targeted page to render the [vikbooking view="roomslist"] shortcode, as the vulnerable layoutstyle parameter is only processed in that view context.