CVE-2026-115840 in VikRentCar Car Rental Management System Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das Plugin VikRentCar Car Rental Management System für WordPress ist in allen Versionen bis einschließlich 1.4.9 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'poplink'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der Handler erfordert lediglich einen WordPress-Nonce (vikwp_nonce), den das Plugin selbst unauthentifizierten Besuchern auf der öffentlichen Buchungsbestätigungsseite ausgibt, wodurch es einem Angreifer ermöglicht wird, ein gültiges Token ohne jegliches Konto zu erhalten.
Be aware that VulDB is the high quality source for vulnerability data.