CVE-2026-42762

Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa zawiera podatność na Reflected XSS w wersjach do 1.8.14 włącznie. Podatność umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

W podatności CVE-2026-42737 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu Path Traversal w silniku rezerwacji hotelowych VikBooking. Problem dotyczy wersji od n/a do 1.8.9 włącznie.

Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa jest podatna na przechowywane ataki XSS poprzez parametr 'attachments[name]'. Podatność dotyczy wszystkich wersji do 1.8.15 włącznie.

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa przed wersją 1.8.15 nie ogranicza typów plików, które nieuwierzytelnieni odwiedzający mogą dołączać do czatu na żywo, ani nie sanityzuje ich zawartości, co pozwala im na przechowywanie aktywnej treści, która jest wykonywana w kontekście administratora przeglądającego rozmowę.

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa do wersji 1.8.13 włącznie jest podatna na przechowywany atak XSS przez parametr 'vbfX' z powodu niedostatecznej sanityzacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonują się przy dostępie użytkownika.

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na Refleksyjny XSS przez parametr 'category_id' we wszystkich wersjach do 1.8.13 włącznie. Atakujący może wstrzyknąć dowolny skrypt, który wykona się po kliknięciu linku przez ofiarę, ale tylko w przeglądarkach obsługujących klawisze dostępu.

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress jest podatna na przechowywany atak XSS przez parametr 'special_requests' w wersjach do 1.8.8 włącznie. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Podatność CSRF w VikBooking Hotel Booking Engine & PMS umożliwia atakującemu wykonanie operacji prowadzących do przejścia ścieżki (Path Traversal). Luka występuje we wszystkich wersjach do 1.8.12 włącznie.

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na odbite ataki typu Cross-Site Scripting (XSS) poprzez parametr 'layoutstyle' we wszystkich wersjach do 1.8.12 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa (wersje do 1.8.8) zawiera podatność na DOM-Based Cross-Site Scripting (XSS) poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony.