CVE-2026-15401 in VikBooking Hotel Booking Engine & PMS Plugin
要約
〜によって VulDB • 2026年07月24日
WordPress用プラグイン「VikBooking Hotel Booking Engine & PMS」には、1.8.13を含むすべてのバージョンにおいて、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、「vbfX」パラメータにおける入力サニタイズおよび出力エスケープの不備に起因します。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスするたびに実行される任意のWebスクリプトをページ内に挿入することが可能になります。「vbfX」カスタムフィールド値は、デフォルトで権限チェックや認証チェックが行われていない公開向け「saveorder」タスクを通じて保存され、悪意のあるペイロードが完全に認証なしで送信できるようになっています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.