Analityczne wykorzystywanie plików cookies
CVE-2026-6820: VikBooking WordPress Plugin podatny na przechowywany XSS
Wtyczka VikBooking do WordPress ma lukę XSS w parametrze 'email'. Zalecane szybkie aktualizacje i monitorowanie bezpieczeństwa.
- CVSS
- 7.2 HIGH
- EPSS
- 13.77%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPress do wersji 1.8.8 zawiera lukę przechowywanego Cross-Site Scripting (XSS) poprzez parametr 'email'. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami i wrażliwymi danymi.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki VikBooking i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji przyjmujących dane 'email', monitorować logi pod kątem podejrzanych aktywności oraz stosować dodatkowe mechanizmy filtrowania i walidacji danych wejściowych. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i edukować użytkowników o potencjalnych zagrożeniach.