Multi-day Booking Calendar <= 1.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Multi-day Booking Calendar, que afecta a las versiones hasta 1.0.1. Esta vulnerabilidad permite la ejecución de scripts maliciosos en el contexto del navegador de los usuarios autenticados con rol de colaborador o superior.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de entradas no sanitizadas, lo que permite a un atacante inyectar código JavaScript en la aplicación. Esto afecta a la superficie de ataque al permitir que los scripts se ejecuten en el navegador de otros usuarios autenticados, comprometiendo así la integridad de la aplicación.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que puede permitir a un atacante robar información sensible de los usuarios o realizar acciones en su nombre. Esto podría comprometer la confianza en la plataforma y afectar la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse a través de formularios o entradas donde un colaborador puede introducir datos, que luego no son correctamente filtrados antes de ser mostrados a otros usuarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Multi-day Booking Calendar a la versión 1.0.1 o superior. Además, se debe realizar un hardening de la aplicación, implementando medidas de sanitización de entradas y validación de datos.

Señales de detección

Señales de posible explotación incluyen la detección de comportamientos inusuales en la interacción de usuarios autenticados, así como la aparición de scripts no autorizados en la consola del navegador.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.1 del plugin Multi-day Booking Calendar.