Booking calendar, Appointment Booking System <= 3.2.3 - Authenticated (Editor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Booking Calendar, Appointment Booking System' en versiones hasta la 3.2.3. Esta vulnerabilidad permite a usuarios autenticados con rol de Editor o superior ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja y almacena entradas de usuario, permitiendo la inyección de código JavaScript malicioso. Esto afecta a la superficie de ataque de los usuarios que interactúan con el sistema de reservas, especialmente aquellos con permisos elevados.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los datos de los usuarios y la integridad del sitio, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre de otros usuarios.

Vector de explotación

Generalmente, la explotación se realiza a través de la inyección de scripts en campos de entrada que son procesados y almacenados por el plugin, los cuales se ejecutan cuando otros usuarios acceden a la interfaz afectada.

Mitigación recomendada

Actualizar el plugin 'Booking Calendar, Appointment Booking System' a la versión 3.2.4 o superior. Además, se recomienda revisar las configuraciones de seguridad y los permisos de usuario para limitar el acceso a funciones críticas.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador de los usuarios.

Alcance afectado

Las versiones del plugin hasta la 3.2.3 son vulnerables. Se recomienda a todos los usuarios de este plugin que realicen la actualización inmediatamente.