VikBooking WordPress Plugin podatny na Reflected Cross-Site Scripting (CVE-2026-12754)

Co wiadomo

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress do wersji 1.8.12 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'layoutstyle'. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy stron korzystających z widoku 'roomslist' z wtyczką VikBooking.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki VikBooking i jej instalację. W przypadku braku łatki, ograniczenie ekspozycji podatnego widoku, monitorowanie logów pod kątem podejrzanych aktywności oraz edukacja użytkowników w zakresie nieklikania podejrzanych linków. Priorytetowe traktowanie tej podatności w procesie zarządzania ryzykiem.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference