Salon booking system <= 9.6.2 - Unauthenticated Stored Cross-Site Scripting via 'sms_prefix'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Salon Booking System, que afecta a las versiones hasta la 9.6.2. Este fallo permite la inyección de scripts maliciosos sin necesidad de autenticación, lo que representa un riesgo significativo para los usuarios del plugin.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja el parámetro 'sms_prefix'. Un atacante puede aprovechar esta debilidad para inyectar código JavaScript que se ejecutará en el navegador de los usuarios que visiten la página afectada, facilitando así ataques de phishing o robo de información.

Impacto potencial

El impacto de esta vulnerabilidad puede ser grave, ya que permite a un atacante ejecutar scripts en el contexto del usuario. Esto podría resultar en el robo de cookies de sesión, credenciales de acceso o la redirección de usuarios a sitios maliciosos, afectando la confianza y la integridad del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza a través de la manipulación de la URL o formularios que envían el parámetro 'sms_prefix', permitiendo la inyección de código malicioso que se ejecuta cuando otros usuarios acceden a la página comprometida.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Salon Booking System a la versión 9.6.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la validación y el saneamiento de entradas, y el uso de Content Security Policy (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Las señales de riesgo incluyen la aparición de comportamientos inusuales en la interfaz del usuario, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador. Monitorear los registros de acceso en busca de patrones sospechosos también puede ser útil.

Alcance afectado

Las versiones del plugin Salon Booking System hasta la 9.6.2 están afectadas, lo que incluye todas las instalaciones que no han sido actualizadas a la versión corregida 9.6.3.