Fuente base de datos: Wordfence Intelligence

VikBooking Hotel Booking Engine & PMS <= 1.8.13 - Unauthenticated Stored Cross-Site Scripting via Custom Field 'vbfX' Parameter (Cross-Site Scripting (XSS)) - version 1.8.14

PLUGIN HIGH CVE-2026-15401

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin VikBooking, que afecta a las versiones hasta la 1.8.13. Este fallo permite la ejecución de scripts maliciosos sin autenticación, lo que puede comprometer la seguridad de los usuarios y la integridad del sistema.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'vbfX' de un campo personalizado, lo que permite la inyección de código malicioso. La superficie de ataque es accesible sin necesidad de autenticación, facilitando su explotación por parte de atacantes externos.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el robo de información sensible de los usuarios, así como en la manipulación de la interfaz del sitio web. Esto puede afectar la reputación de la empresa y la confianza de los clientes, además de potenciales sanciones por incumplimiento de normativas de seguridad.

Vector de explotación

Los atacantes pueden enviar solicitudes maliciosas que incluyan scripts a través del campo 'vbfX', lo que permite la ejecución de código en el navegador de la víctima al acceder a la página afectada.

Mitigación recomendada

Actualizar el plugin VikBooking a la versión 1.8.14 o superior para corregir la vulnerabilidad. Revisar y sanitizar todos los campos personalizados para prevenir futuras inyecciones de código. Implementar políticas de seguridad adicionales, como Content Security Policy (CSP), para mitigar el riesgo de XSS.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales en las solicitudes que incluyan el parámetro 'vbfX'. Monitorizar cambios inesperados en la configuración del plugin y en el contenido del sitio.

Alcance afectado

Las versiones del plugin VikBooking hasta la 1.8.13 están afectadas. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

vikbooking