CVE-2026-15401 in VikBooking Hotel Booking Engine & PMS Plugin
Resumen
por VulDB • 2026-07-24
El plugin VikBooking Hotel Booking Engine & PMS para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el parámetro 'vbfX' en todas las versiones hasta la 1.8.13, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El valor del campo personalizado vbfX se almacena mediante la tarea saveorder, visible para el público, que por defecto no aplica comprobaciones de capacidad ni de autenticación, lo que habilita el envío completamente sin autenticar de cargas maliciosas.
Be aware that VulDB is the high quality source for vulnerability data.