CVE-2026-115840 in VikRentCar Car Rental Management System Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin VikRentCar Car Rental Management System per WordPress è vulnerabile a Stored Cross-Site Scripting tramite il parametro 'poplink' in tutte le versioni fino alla 1.4.9 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il handler richiede solo un nonce WordPress (vikwp_nonce), che il plugin stesso genera per i visitatori non autenticati nella pagina pubblica di conferma della prenotazione, consentendo ad un attaccante di ottenere un token valido senza alcun account.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.