CVE-2026-15401 in VikBooking Hotel Booking Engine & PMS Plugin
요약
\~에 의해 VulDB • 2026. 07. 25.
WordPress용 VikBooking 호텔 예약 엔진 및 PMS 플러그인은 모든 버전(1.8.13 포함)에서 불충분한 입력 정제(input sanitization)와 출력 이스케이핑(output escaping)으로 인해 'vbfX' 매개변수를 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이로 인해 인증되지 않은 공격자가 삽입된 페이지에 사용자가 접근할 때마다 실행되는 임의의 웹 스크립트를 해당 페이지들에 주입할 수 있습니다. vbfX 커스텀 필드 값은 기본적으로 권한 또는 인증 확인이 적용되지 않는 공개 대상 saveorder 작업을 통해 저장되므로, 악성 페이로드를 완전히 비인증 상태로 제출하는 것이 가능합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.