Booqable Rental Plugin <= 2.4.15 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Booqable Rental hasta la versión 2.4.15. Esta falla permite a los administradores autenticados ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se manifiesta a través de la capacidad de los administradores para introducir contenido que no es debidamente sanitizado, lo que permite la inyección de scripts. Esto puede ser aprovechado en el contexto de las reservas y gestión de alquileres, donde se manipulan datos introducidos por el usuario.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código en el navegador de usuarios autenticados, potencialmente robando información sensible o realizando acciones no autorizadas en su nombre. Esto puede comprometer la integridad de la plataforma y la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la inyección de scripts en campos de entrada que son procesados sin la debida validación, lo que permite que el código malicioso se ejecute en el contexto de la sesión del usuario afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Booqable Rental a la versión 2.4.16 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todos los campos de entrada y salida en el plugin para prevenir inyecciones futuras.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las páginas de administración, así como comportamientos extraños en la interfaz de usuario que podrían indicar la ejecución de código malicioso.

Alcance afectado

Las versiones del plugin Booqable Rental hasta la 2.4.15 son las afectadas. Las instalaciones que utilicen estas versiones corren un riesgo significativo hasta que sean actualizadas.