CVE-2026-57388
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Hydra Booking dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 1.1.44 włącznie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt JavaScript, który zostanie wykonany w przeglądarkach administratorów i użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub defacementu strony.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Hydra Booking do wersji nowszej niż 1.1.44, gdy tylko producent udostępni łatkę. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego oraz stosowanie zapór aplikacyjnych (WAF).
Inne podatności w Hydra Booking
Zobacz wszystkie- CVE-2026-15948Średnie
Wtyczka Hydra Booking dla WordPressa do wersji 1.2.2 włącznie jest podatna na przechowywany atak XSS przez parametr 'first_name'. Atakujący z dostępem na poziomie hosta może wstrzyknąć złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron.
- CVE-2026-28188Wysokie
Wtyczka Hydra Booking w wersjach do 1.2.2 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Osoba atakująca bez logowania może wykorzystać tę lukę do nieautoryzowanych operacji.
- CVE-2026-42675Wysokie
Podatność brakującej autoryzacji w Themefic Hydra Booking do wersji 1.1.41. Umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-39541Średnie
Wtyczka Hydra Booking dla WordPressa zawiera podatność na Stored XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Themefic Hydra Booking hydra-booking allows Stored XSS.This issue affects Hydra Booking: from n/a through <= 1.1.44.