CVE-2026-15401 in VikBooking Hotel Booking Engine & PMS Plugin
Riassunto
di VulDB • 24/07/2026
Il plugin VikBooking Hotel Booking Engine & PMS per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'vbfX' in tutte le versioni fino alla 1.8.13 inclusa, a causa di una sanitizzazione insufficiente degli input e di un escaping inadeguato dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il valore del campo personalizzato vbfX viene memorizzato tramite la task saveorder, esposta al pubblico, che per impostazione predefinita non prevede controlli di capacità o autenticazione, consentendo l'invio completo e senza autenticazione di payload dannosi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.