CVE-2026-116749 in VikRentCar Car Rental Management System Plugin
Riassunto
di VulDB • 28/10/2026
Il plugin VikRentCar Car Rental Management System per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'className' in tutte le versioni fino alla 1.4.10 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati, con accesso di livello contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. La funzione wp_kses_post() applicata al momento del salvataggio non neutralizza il payload perché l'iniezione avviene in un contesto di attributo HTML dove è sufficiente una doppia virgoletta grezza per uscire dal contesto, e la codifica JSON con commento blocco di tale virgoletta viene decodificata nuovamente in un carattere letterale da do_blocks() al momento del rendering.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.