平台
php
组件
online-hotel-booking
修复版本
1.0.1
CVE-2026-5705 是 code-projects Online Hotel Booking 软件中发现的一个安全漏洞，该漏洞允许攻击者通过跨站脚本攻击 (XSS) 执行恶意代码。该漏洞影响版本 1.0.0–1.0 的软件，攻击者可以远程利用该漏洞。目前尚未发布官方修复补丁。
在 code-projects Online Hotel Booking 1.0 版本中，发现了一个跨站脚本漏洞 (XSS)。该漏洞位于 /booknow.php 文件中，具体位于 'Booking Endpoint' 组件中 roomname 参数的处理方式。攻击者可以通过操纵该参数注入恶意 JavaScript 代码。成功利用此漏洞可能允许攻击者窃取会话 Cookie、将用户重定向到恶意网站或修改用户可见的网页内容，从而危及应用程序的完整性和用户数据保密性。该漏洞的严重程度评分为 CVSS 4.3，表明存在中等风险。漏洞利用代码的公开可用性加剧了风险，因为它便于恶意行为者利用。
该漏洞通过操纵 /booknow.php 文件的 roomname 参数来利用。攻击者可以将恶意 JavaScript 代码注入到此参数中，当页面被访问时，该代码将在用户的浏览器中执行。由于利用是远程的，因此不需要访问服务器。漏洞利用代码的公开可用性意味着攻击者可以使用现有的工具和技术快速利用该漏洞。利用的影响可能因受影响用户的权限和他们访问的数据的敏感性而异。建议进行全面的安全审计，以识别和修复应用程序中的任何其他潜在漏洞。
Hotels and businesses utilizing Online Hotel Booking version 1.0, particularly those with publicly accessible booking endpoints, are at significant risk. Shared hosting environments where multiple websites share the same server resources are also vulnerable, as an attacker could potentially compromise other sites on the same server.
• php / web:
curl -I 'http://your-hotel-booking-site.com/booknow.php?roomname=<script>alert("XSS")</script>' | grep -i 'content-type'• generic web:
grep -r "roomname" /var/log/apache2/access.log | grep "<script"disclosure
漏洞利用状态
EPSS
0.01% (1% 百分位)
CISA SSVC
CVSS 向量
目前，开发人员尚未为 CVE-2026-5705 提供官方修复程序（fix）。但是，建议立即采取缓解措施以降低被利用的风险。这些措施包括严格验证和清理所有用户输入，特别是 /booknow.php 中的 roomname 参数。实施内容安全策略 (CSP) 可以帮助减轻 XSS 攻击，方法是控制浏览器可以加载的资源。监控网络流量以查找可疑模式以及保持底层操作系统和软件库更新也是推荐的做法。强烈建议联系 'code-projects' 开发人员以请求安全更新。
将 Online Hotel Booking 插件更新到最新可用版本，以缓解 /booknow.php 端点处的跨站脚本攻击 (Cross-Site Scripting, XSS) 漏洞。请查阅插件的官方来源以获取具体的更新说明。实施适当的用户输入验证和转义，以防止未来的 XSS 攻击。
漏洞分析和关键警报直接发送到您的邮箱。
XSS（跨站脚本）是一种安全漏洞，允许攻击者将恶意脚本注入到其他用户查看的网页中。
实施输入验证和清理，使用内容安全策略 (CSP)，并保持软件更新。
隔离受影响的系统，调查事件，并采取必要的缓解措施。
有一些漏洞扫描工具可以帮助您识别网站中的 XSS 漏洞。
您可以在漏洞数据库（如国家漏洞数据库 (NVD)）中找到有关此漏洞的更多信息。