CVE-2026-116548

Wtyczka VikRentCar Car Rental Management System dla WordPressa w wersjach do 1.4.10 włącznie jest podatna na ślepą iniekcję SQL poprzez parametr 'catid' z powodu niewystarczającego escapowania parametru użytkownika i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z poziomem Contributor może dołączać dodatkowe zapytania SQL i wyodrębniać poufne informacje z bazy danych, zapisując złośliwy blok przez REST API w oczekującym poście i wyzwalając renderowanie po stronie serwera przez podgląd.

Wtyczka VikRentCar Car Rental Management System dla WordPressa w wersjach do 1.4.10 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'className' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; wp_kses_post() stosowane przy zapisie nie neutralizuje payloadu, ponieważ wstrzyknięcie trafia w kontekst atrybutu HTML, a kodowanie JSON w komentarzu bloku jest dekodowane przez do_blocks() przy renderowaniu.

Wtyczka VikRentCar dla WordPressa w wersjach do 1.4.8 włącznie jest podatna na fałszowanie żądań między witrynami (CSRF) w funkcji condtext_update_tmpl z powodu braku walidacji nonce. Umożliwia to nieuwierzytelnionym atakującym zapisanie dowolnego kodu PHP do plików szablonów wtyczki i zdalne wykonanie kodu, jeśli uda się nakłonić administratora do kliknięcia linku.