CVE-2026-15346

Nome do Software Vulnerável e Versões Afetadas VikBooking Hotel Booking Engine & PMS versões anteriores a 1.8.14

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que atacantes não autenticados realizem Reflected Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são injetados em uma página web e refletidos de volta para o usuário. Isso ocorre por meio do parâmetro category id. O ataque é bem-sucedido se um usuário for enganado para clicar em um link malicioso, embora seja limitado a navegadores que suportam teclas de acesso, pois a injeção ocorre em um elemento oculto.

Recomendações Atualize para uma versão posterior à 1.8.13. Evite usar o parâmetro category id em requisições até que a atualização seja aplicada.