CVE-2026-15346
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na Refleksyjny XSS przez parametr 'category_id' we wszystkich wersjach do 1.8.13 włącznie. Atakujący może wstrzyknąć dowolny skrypt, który wykona się po kliknięciu linku przez ofiarę, ale tylko w przeglądarkach obsługujących klawisze dostępu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce administratora lub użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która usuwa tę podatność, oraz stosowanie reguł WAF blokujących podejrzane parametry.
Inne podatności w VikBooking Hotel Booking Engine & PMS
Zobacz wszystkie- CVE-2026-42762Wysokie
W podatności CVE-2026-42762 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w silniku rezerwacji hotelowych VikBooking. Problem ten dotyczy wersji od n/a do 1.8.9 włącznie.
- CVE-2026-42737Wysokie
W podatności CVE-2026-42737 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu Path Traversal w silniku rezerwacji hotelowych VikBooking. Problem dotyczy wersji od n/a do 1.8.9 włącznie.
- CVE-2026-15401Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa do wersji 1.8.13 włącznie jest podatna na przechowywany atak XSS przez parametr 'vbfX' z powodu niedostatecznej sanityzacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonują się przy dostępie użytkownika.
- CVE-2026-6818Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress jest podatna na przechowywany atak XSS przez parametr 'special_requests' w wersjach do 1.8.8 włącznie. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-57723Wysokie
Podatność CSRF w VikBooking Hotel Booking Engine & PMS umożliwia atakującemu wykonanie operacji prowadzących do przejścia ścieżki (Path Traversal). Luka występuje we wszystkich wersjach do 1.8.12 włącznie.
- CVE-2026-12754Średnie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na odbite ataki typu Cross-Site Scripting (XSS) poprzez parametr 'layoutstyle' we wszystkich wersjach do 1.8.12 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-42683Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa (wersje do 1.8.8) zawiera podatność na DOM-Based Cross-Site Scripting (XSS) poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
The VikBooking Hotel Booking Engine & PMS plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'category_id' parameter in all versions up to, and including, 1.8.13 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. This is limited to browsers that support access keys as the injection is in a hidden element.