„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-12754 betrifft das WordPress-Plugin VikBooking Hotel Booking Engine & PMS in allen Versionen bis einschließlich 1.8.12. Es handelt sich um eine Reflected Cross-Site Scripting (XSS)-Schwachstelle mit einem CVSS-Score von 6.1 (Medium). Die Lücke ermöglicht es unauthentifizierten Angreifern, beliebige JavaScript-Code in Webseiten einzuschleusen.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit dem VikBooking Plugin in den Versionen bis 1.8.12. Die Schwachstelle wird nur aktiv, wenn die betroffene Seite das Shortcode-Element [vikbooking view=“roomslist“] enthält. Systeme, die diesen Shortcode nicht verwenden, sind nicht gefährdet.
Technische Details
Die Verwundbarkeit resultiert aus unzureichender Input-Validierung und Output-Escaping des Parameters ‚layoutstyle‘. Der Parameter wird in der roomslist-View verarbeitet, ohne dass die Eingaben korrekt sanitized werden. Angreifer können durch spezifisch manipulierte URLs oder Social Engineering Opfer dazu verleiten, schadhaft konstruierte Links zu öffnen. Der injizierte Code wird im Browser des Opfers ausgeführt, was zum Diebstahl von Session-Cookies, Keylogging oder zur Umleitung auf Phishing-Seiten führen kann.
Empfohlene Massnahmen
Als vorrangige Maßnahme sollten Administratoren das VikBooking-Plugin umgehend deaktivieren, bis ein Sicherheits-Patch verfügbar ist. Es wird empfohlen, regelmäßig auf Updates zu prüfen oder das Plugin durch eine sichere Alternative zu ersetzen. Zusätzlich sollten Web Application Firewalls (WAF) konfiguriert werden, um XSS-Muster zu erkennen. Eine Überprüfung der Server-Logs auf verdächtige Zugriffe auf den layoutstyle-Parameter ist ratsam.
Bewertung
Mit einem CVSS-Score von 6.1 ist diese Lücke von mittlerem Schweregrad. Da kein Patch vorhanden ist und die Ausnutzung nur Social Engineering erfordert, sollte sie zeitnah adressiert werden. Die Abhängigkeit vom roomslist-Shortcode reduziert die Angriffsflächenbreite. Dennoch ist die Schwachstelle ernst zu nehmen, da XSS-Attacken erhebliche Sicherheitsrisiken für Nutzer darstellen.
„`