CVE-2026-112835
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka VikRentCar zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt jest odzwierciedlany w odpowiedzi serwera i wykonywany w przeglądarce ofiary.
Ocena ryzyka
Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co pozwala wykonać dowolny kod JavaScript w jego sesji. Może to prowadzić do kradzieży danych sesyjnych lub działań w imieniu ofiary.
Rekomendacja
Zaktualizuj wtyczkę VikRentCar do wersji nowszej niż 1.4.8. Wdróż politykę Content Security Policy oraz walidację i kodowanie danych wejściowych.
Inne podatności w VikRentCar
Zobacz wszystkie- CVE-2026-112836Wysokie
W wtyczce VikRentCar (e4jvikwp) do wersji 1.4.8 występuje podatność Cross-Site Request Forgery (CSRF). Podatność pozwala na wykonanie niepożądanych działań w imieniu zalogowanego użytkownika.
- CVE-2026-115840Wysokie
Wtyczka VikRentCar dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'poplink' w wersjach do 1.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagany jest jedynie nonce WordPressa (vikwp_nonce), który wtyczka udostępnia nieuwierzytelnionym odwiedzającym na publicznej stronie potwierdzenia rezerwacji.
- CVE-2026-28160Wysokie
Wtyczka VikRentCar (e4jvikwp) do wersji 1.4.10 zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
- CVE-2026-116405Wysokie
Wtyczka VikRentCar w wersjach do 1.4.9 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2026-112838Wysokie
Wtyczka VikRentCar zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron WWW. Złośliwy skrypt zapisany w aplikacji jest później wykonywany w przeglądarkach użytkowników.
- CVE-2026-39790Wysokie
Podatność typu Reflected XSS w wtyczce VikRentCar do WordPressa, wersje do 1.4.7 włącznie. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia odbity atak XSS.
- CVE-2026-52699Wysokie
W wersjach VikRentCar <= 1.4.5 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in e4jvikwp VikRentCar vikrentcar allows Reflected XSS.This issue affects VikRentCar: from n/a through 1.4.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS