Fuente base de datos: Wordfence Intelligence

VikBooking Hotel Booking Engine & PMS <= 1.8.9 - Unauthenticated Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 1.8.10

PLUGIN HIGH CVE-2026-42762

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha descubierto una vulnerabilidad de tipo Cross-Site Scripting (XSS) no autenticado en el plugin VikBooking hasta la versión 1.8.9. Esta falla, catalogada con una severidad alta, puede permitir a un atacante ejecutar scripts maliciosos en el navegador de los usuarios, comprometiendo la seguridad de la aplicación y la información de los usuarios.

Contexto técnico

La vulnerabilidad se presenta en el plugin VikBooking, específicamente en la gestión de datos que no se validan correctamente. Esto permite a un atacante inyectar scripts maliciosos que se ejecutan en el contexto del usuario, facilitando el robo de información sensible o la manipulación de sesiones.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a los atacantes realizar acciones no autorizadas en nombre de los usuarios, potencialmente comprometiendo datos personales y afectando la confianza del cliente en la plataforma. Esto puede resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se puede realizar mediante la inyección de scripts en formularios o enlaces que son procesados por el sistema, sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin VikBooking a la versión 1.8.10 o superior para corregir la vulnerabilidad. Revisar y validar todas las entradas de datos en el sistema para prevenir inyecciones de scripts. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar riesgos futuros.

Señales de detección

Señales de riesgo incluyen logs de actividad inusual que muestren intentos de inyección de scripts, así como cambios inesperados en la configuración del plugin o en la base de datos relacionada.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.8.10 del plugin VikBooking. No se han confirmado casos de explotación en versiones posteriores.