WP Booking Calendar <= 10.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via bookingform Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP Booking Calendar, que afecta a las versiones hasta la 10.2.1. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través del shortcode bookingform.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas del usuario en el shortcode bookingform. Un atacante con privilegios de contribuidor o superiores puede insertar código JavaScript en las entradas, lo que se traduce en un ataque XSS almacenado, afectando a otros usuarios que visualicen la información comprometida.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría ejecutar scripts arbitrarios en el navegador de otros usuarios, lo que podría llevar al robo de datos sensibles, suplantación de identidad o redirección a sitios maliciosos. Esto representa un riesgo significativo tanto para la integridad de la información como para la reputación del sitio web.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación de entradas maliciosas a través del shortcode bookingform, que luego son visualizadas por otros usuarios, ejecutando así el código inyectado en sus navegadores.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin WP Booking Calendar a la versión 10.2.2 o superior. Además, se sugiere revisar las configuraciones de permisos de los usuarios y aplicar medidas de validación y sanitización de entradas en el uso de shortcodes.

Señales de detección

Las señales de posible explotación incluyen la aparición de scripts no autorizados en las páginas generadas por el shortcode bookingform o reportes de comportamientos inusuales por parte de los usuarios al interactuar con el calendario de reservas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 10.2.2 del plugin WP Booking Calendar. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión actual.