Booking Calendar <= 9.7.3.3 - Authenticated(Contributor+) Stored Cross-Site Scripting via shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Booking Calendar, que afecta a las versiones hasta la 9.7.3.3. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de un shortcode, lo que puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona los shortcodes, permitiendo que usuarios autenticados con rol de colaborador o superior inyecten código JavaScript malicioso. Esto se traduce en un riesgo de ejecución de scripts en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que puede ser explotada por usuarios con permisos limitados, lo que podría llevar a la divulgación de información sensible o a la manipulación de sesiones de usuario, afectando la confianza en la plataforma y la integridad de los datos.

Vector de explotación

La explotación se lleva a cabo mediante la inserción de un shortcode malicioso en el contenido gestionado por el plugin, que luego se renderiza en el navegador de otros usuarios, ejecutando el script inyectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Booking Calendar a la versión 9.7.4 o superior. Además, se sugiere revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin para minimizar riesgos adicionales.

Señales de detección

Se deben monitorizar logs de actividad de usuarios para detectar inserciones inusuales de shortcodes y revisar el contenido generado por el plugin en busca de scripts sospechosos.

Alcance afectado

Las versiones del plugin Booking Calendar hasta la 9.7.3.3 están afectadas, lo que incluye todas las instalaciones que no han sido actualizadas a la versión 9.7.4 o superior.