CVE-2026-6818
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress jest podatna na przechowywany atak XSS przez parametr 'special_requests' w wersjach do 1.8.8 włącznie. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przekierowań do złośliwych stron lub kradzieży danych wrażliwych, co może prowadzić do naruszenia bezpieczeństwa i reputacji organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki VikBooking do najnowszej dostępnej wersji oraz wdrożenie reguł WAF blokujących podejrzane parametry 'special_requests'.
Inne podatności w VikBooking Hotel Booking Engine & PMS
Zobacz wszystkie- CVE-2026-42762Wysokie
W podatności CVE-2026-42762 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w silniku rezerwacji hotelowych VikBooking. Problem ten dotyczy wersji od n/a do 1.8.9 włącznie.
- CVE-2026-42737Wysokie
W podatności CVE-2026-42737 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu Path Traversal w silniku rezerwacji hotelowych VikBooking. Problem dotyczy wersji od n/a do 1.8.9 włącznie.
- CVE-2026-15401Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa do wersji 1.8.13 włącznie jest podatna na przechowywany atak XSS przez parametr 'vbfX' z powodu niedostatecznej sanityzacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonują się przy dostępie użytkownika.
- CVE-2026-15346Średnie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na Refleksyjny XSS przez parametr 'category_id' we wszystkich wersjach do 1.8.13 włącznie. Atakujący może wstrzyknąć dowolny skrypt, który wykona się po kliknięciu linku przez ofiarę, ale tylko w przeglądarkach obsługujących klawisze dostępu.
- CVE-2026-57723Wysokie
Podatność CSRF w VikBooking Hotel Booking Engine & PMS umożliwia atakującemu wykonanie operacji prowadzących do przejścia ścieżki (Path Traversal). Luka występuje we wszystkich wersjach do 1.8.12 włącznie.
- CVE-2026-12754Średnie
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa jest podatna na odbite ataki typu Cross-Site Scripting (XSS) poprzez parametr 'layoutstyle' we wszystkich wersjach do 1.8.12 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-42683Wysokie
Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa (wersje do 1.8.8) zawiera podatność na DOM-Based Cross-Site Scripting (XSS) poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
The VikBooking Hotel Booking Engine & PMS plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'special_requests' parameter in all versions up to, and including, 1.8.8 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.