CVE-2026-15401

Nome do Software Vulnerável e Versões Afetadas VikBooking Hotel Booking Engine & PMS versões anteriores a 1.8.14

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro vbfX, que é armazenado por meio da tarefa pública saveorder. Como essa tarefa não possui verificações de capacidade ou autenticação por padrão, invasores podem injetar scripts web arbitrários que são executados quando um usuário acessa a página afetada.

Recomendações Atualize o VikBooking Hotel Booking Engine & PMS para a versão 1.8.14 ou posterior. Como medida de mitigação temporária, restrinja o acesso à tarefa saveorder para evitar envios não autenticados para o parâmetro vbfX.