Fuente base de datos: Wordfence Intelligence

VikBooking Hotel Booking Engine & PMS <= 1.8.8 - Unauthenticated Stored Cross-Site Scripting via Booking Form Email Field (Cross-Site Scripting (XSS)) - version 1.8.9

PLUGIN HIGH CVE-2026-6820

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin VikBooking, afectando a versiones anteriores a la 1.8.9. Esta falla permite a un atacante no autenticado inyectar scripts maliciosos a través del campo de email del formulario de reservas, lo que podría comprometer la seguridad del sitio web y de sus usuarios.

Contexto técnico

La vulnerabilidad se presenta en el campo de email del formulario de reservas del plugin VikBooking, permitiendo que un atacante envíe datos manipulados que se procesan sin la debida validación. Esto crea una superficie de ataque que puede ser explotada sin necesidad de autenticación previa.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de scripts maliciosos en el navegador de los usuarios, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto afecta no solo la integridad del sitio, sino también la confianza de los usuarios en la plataforma.

Vector de explotación

El vector de explotación implica enviar un formulario de reserva con un payload malicioso en el campo de email, que se almacena y se ejecuta en el contexto de otros usuarios que acceden a la información comprometida.

Mitigación recomendada

Actualizar el plugin VikBooking a la versión 1.8.9 o superior para corregir la vulnerabilidad. Implementar medidas de validación y sanitización en todos los campos de entrada del formulario. Realizar auditorías de seguridad periódicas para detectar y mitigar vulnerabilidades similares.

Señales de detección

Señales a observar incluyen registros de entradas no válidas en el campo de email y comportamientos inusuales en la interacción de usuarios con el formulario de reservas.

Alcance afectado

Las versiones de VikBooking hasta la 1.8.8 están afectadas. No se han confirmado impactos en versiones posteriores a la 1.8.9.

Vulnerabilidades relacionadas

HIGH PLUGIN

vikbooking