CVE-2026-42762
WysokieStreszczenie
W podatności CVE-2026-42762 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w silniku rezerwacji hotelowych VikBooking. Problem ten dotyczy wersji od n/a do 1.8.9 włącznie.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzykiwania złośliwego kodu JavaScript, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. To stwarza poważne zagrożenie dla bezpieczeństwa aplikacji oraz danych klientów.
Rekomendacja
Zaleca się aktualizację silnika VikBooking do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające przed XSS, takie jak odpowiednia walidacja i sanitizacja danych wejściowych.
Inne podatności w VikBooking Hotel Booking Engine & PMS
Zobacz wszystkie- CVE-2026-42737Wysokie
W podatności CVE-2026-42737 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu Path Traversal w silniku rezerwacji hotelowych VikBooking. Problem dotyczy wersji od n/a do 1.8.9 włącznie.
- CVE-2026-15401Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa do wersji 1.8.13 włącznie jest podatna na przechowywany atak XSS przez parametr 'vbfX' z powodu niedostatecznej sanityzacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonują się przy dostępie użytkownika.
- CVE-2026-15346Średnie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na Refleksyjny XSS przez parametr 'category_id' we wszystkich wersjach do 1.8.13 włącznie. Atakujący może wstrzyknąć dowolny skrypt, który wykona się po kliknięciu linku przez ofiarę, ale tylko w przeglądarkach obsługujących klawisze dostępu.
- CVE-2026-6818Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress jest podatna na przechowywany atak XSS przez parametr 'special_requests' w wersjach do 1.8.8 włącznie. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-57723Wysokie
Podatność CSRF w VikBooking Hotel Booking Engine & PMS umożliwia atakującemu wykonanie operacji prowadzących do przejścia ścieżki (Path Traversal). Luka występuje we wszystkich wersjach do 1.8.12 włącznie.
- CVE-2026-12754Średnie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na odbite ataki typu Cross-Site Scripting (XSS) poprzez parametr 'layoutstyle' we wszystkich wersjach do 1.8.12 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-42683Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa (wersje do 1.8.8) zawiera podatność na DOM-Based Cross-Site Scripting (XSS) poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in e4jvikwp VikBooking Hotel Booking Engine & PMS vikbooking allows DOM-Based XSS.This issue affects VikBooking Hotel Booking Engine & PMS: from n/a through <= 1.8.9.