FAT Services Booking <= 5.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin FAT Services Booking, que afecta a versiones hasta la 5.6. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior inyectar scripts maliciosos en la aplicación.

Contexto técnico

El fallo se origina en la falta de una adecuada validación y escape de datos en las entradas del plugin. Esto permite que un atacante que ya tenga acceso al sistema como suscriptor o superior pueda almacenar scripts que se ejecuten en el navegador de otros usuarios al visualizar la información comprometida.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios, permitiendo la ejecución de scripts maliciosos que podrían robar información sensible, realizar acciones no autorizadas en nombre de los usuarios o redirigir a los visitantes a sitios maliciosos, lo que podría afectar la reputación del negocio.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la inyección de código JavaScript en campos de entrada que no son debidamente sanitizados, permitiendo que el código se ejecute cuando otros usuarios acceden a la información afectada.

Mitigación recomendada

Se recomienda actualizar el plugin FAT Services Booking a la versión 5.6 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales como la validación de entradas y el uso de Content Security Policy (CSP) para mitigar el riesgo de XSS.

Señales de detección

Se pueden observar comportamientos inusuales en el tráfico de la aplicación, como solicitudes que contienen scripts en campos de entrada o cambios en el contenido de las páginas que no son atribuibles a acciones legítimas de los usuarios.

Alcance afectado

Las versiones del plugin FAT Services Booking hasta la 5.6 son vulnerables. Es crucial que los usuarios de este plugin verifiquen su versión y apliquen las actualizaciones necesarias para evitar riesgos.