CVE-2026-15401 in VikBooking Hotel Booking Engine & PMS Plugin
Sumário
de VulDB • 24/07/2026
O plugin VikBooking Hotel Booking Engine & PMS para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) através do parâmetro 'vbfX' em todas as versões até 1.8.13, devido à sanitização insuficiente de entrada e ao escapamento inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O valor do campo personalizado vbfX é armazenado por meio da tarefa saveorder voltada para o público, a qual não possui verificações de capacidade ou autenticação impostas por padrão, permitindo o envio totalmente desautenticado de payloads maliciosos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.