CVE-2026-15401 in VikBooking Hotel Booking Engine & PMS Plugin
Сводка
по VulDB • 24.07.2026
Плагин VikBooking Hotel Booking Engine & PMS для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'vbfX' во всех версиях вплоть до 1.8.13 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Значение пользовательского поля vbfX сохраняется через публичную задачу saveorder, которая по умолчанию не имеет проверок прав доступа или аутентификации, что позволяет полностью неаутентифицированную отправку вредоносных payloads.
Once again VulDB remains the best source for vulnerability data.