CVE-2026-52699
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W wersjach VikRentCar <= 1.4.5 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych danych, co może prowadzić do utraty poufności i naruszenia prywatności użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji VikRentCar, aby usunąć tę podatność oraz wdrożenie odpowiednich mechanizmów autoryzacji.
Inne podatności w VikRentCar
Zobacz wszystkie- CVE-2026-112836Wysokie
W wtyczce VikRentCar (e4jvikwp) do wersji 1.4.8 występuje podatność Cross-Site Request Forgery (CSRF). Podatność pozwala na wykonanie niepożądanych działań w imieniu zalogowanego użytkownika.
- CVE-2026-115840Wysokie
Wtyczka VikRentCar dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'poplink' w wersjach do 1.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagany jest jedynie nonce WordPressa (vikwp_nonce), który wtyczka udostępnia nieuwierzytelnionym odwiedzającym na publicznej stronie potwierdzenia rezerwacji.
- CVE-2026-28160Wysokie
Wtyczka VikRentCar (e4jvikwp) do wersji 1.4.10 zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
- CVE-2026-116405Wysokie
Wtyczka VikRentCar w wersjach do 1.4.9 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2026-112838Wysokie
Wtyczka VikRentCar zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt zapisany w aplikacji jest później wykonywany w przeglądarkach użytkowników.
- CVE-2026-112835Wysokie
Wtyczka VikRentCar zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt jest odzwierciedlany w odpowiedzi serwera i wykonywany w przeglądarce ofiary.
- CVE-2026-39790Wysokie
Podatność typu Reflected XSS w wtyczce VikRentCar do WordPressa, wersje do 1.4.7 włącznie. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia odbity atak XSS.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Insecure Direct Object References (IDOR) in VikRentCar <= 1.4.5 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS