Booking and Rental Manager <= 1.2.1 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Booking and Rental Manager' para WooCommerce, afectando a versiones hasta la 1.2.1. Esta vulnerabilidad permite a un administrador autenticado inyectar scripts maliciosos que pueden ser ejecutados por otros usuarios.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona y almacena datos, permitiendo la inyección de código JavaScript en el navegador de otros usuarios. Esto se clasifica como un XSS almacenado, donde el código malicioso se guarda en el servidor y se ejecuta cuando se accede a la página afectada.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de la información de los usuarios, así como permitir la ejecución de acciones no autorizadas en sus sesiones. Esto puede resultar en pérdidas de datos, robo de información sensible y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad a través de la autenticación como administradores, inyectando scripts en formularios o campos de entrada que luego son visualizados por otros usuarios sin la debida sanitización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.2.2 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todos los datos de entrada y salida en el plugin, y aplicar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Se deben estar atentos a comportamientos inusuales en el sitio web, como la aparición de scripts no autorizados en el código fuente de las páginas o reportes de usuarios sobre comportamientos extraños tras iniciar sesión.

Alcance afectado

Las versiones del plugin 'Booking and Rental Manager for WooCommerce' hasta la 1.2.1 están afectadas. Se recomienda verificar todas las instalaciones que utilicen este plugin.