CVE-2026-28160

W wtyczce VikRentCar (e4jvikwp) do wersji 1.4.8 występuje podatność Cross-Site Request Forgery (CSRF). Podatność pozwala na wykonanie niepożądanych działań w imieniu zalogowanego użytkownika.

Wtyczka VikRentCar dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'poplink' w wersjach do 1.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagany jest jedynie nonce WordPressa (vikwp_nonce), który wtyczka udostępnia nieuwierzytelnionym odwiedzającym na publicznej stronie potwierdzenia rezerwacji.

Wtyczka VikRentCar w wersjach do 1.4.9 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka VikRentCar zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt zapisany w aplikacji jest później wykonywany w przeglądarkach użytkowników.

Wtyczka VikRentCar zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt jest odzwierciedlany w odpowiedzi serwera i wykonywany w przeglądarce ofiary.

Podatność typu Reflected XSS w wtyczce VikRentCar do WordPressa, wersje do 1.4.7 włącznie. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia odbity atak XSS.

W wersjach VikRentCar <= 1.4.5 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.