CVE-2026-15464
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na Stored XSS przez atrybut 'widget_search' shortcode'u z powodu niedostatecznego oczyszczania danych. Atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, ale exploit działa tylko w przeglądarkach obsługujących klawisze dostępu (access keys).
Ocena ryzyka
Złośliwy skrypt może wykonać się w przeglądarce administratora lub innych użytkowników, prowadząc do kradzieży sesji, defacementu lub innych ataków, ale wymaga specyficznych warunków.
Rekomendacja
Zaktualizuj wtyczkę WP Hotel Booking do wersji powyżej 2.3.2, gdy tylko będzie dostępna łatka.
Inne podatności w WP Hotel Booking
Zobacz wszystkie- CVE-2026-15152Średnie
Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.2 nie weryfikuje, czy powiadomienie o płatności odpowiada płatności dokonanej na konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą rezerwacji. Pozwala to nieuwierzytelnionym użytkownikom oznaczać swoje rezerwacje jako w pełni opłacone bez żadnej płatności na rzecz właściciela strony.
- CVE-2026-15149Średnie
Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.3 nie zapewnia, że ilości pokoi i wynikająca suma zamówienia są nieujemne podczas składania rezerwacji, i polega na danych koszyka kontrolowanych przez klienta. Pozwala to nieuwierzytelnionym użytkownikom tworzyć potwierdzone rezerwacje za darmo lub po dowolnie obniżonej cenie.
- CVE-2026-15094Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'check_in_date' we wszystkich wersjach do 2.3.2 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i wyjściowych.
- CVE-2026-11901Średnie
Wtyczka WP Hotel Booking dla WordPressa do wersji 2.3.1 włącznie nie weryfikuje poprawnie autentyczności danych w handlerze IPN PayPal. Atakujący może wykorzystać parametr `test_ipn` do przekierowania walidacji na piaskownicę PayPal i wymusić zmianę statusu transakcji z 'oczekującej' na 'zakończoną' bez faktycznej płatności. Brakuje również sprawdzania unikalności `txn_id` oraz poprawności `receiver_email` i `mc_currency` po otrzymaniu odpowiedzi `VERIFIED`.
- CVE-2026-11392Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametry 'check_in_date' i 'check_out_date' we wszystkich wersjach do 2.3.1 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The WP Hotel Booking plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'widget_search' Shortcode Attribute in all versions up to, and including, 2.3.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is only exploitable on browsers where access keys can be used as the payload is stored in a hidden attribute.