Booking Calendar <= 10.9.2 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via 'booking' Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Booking Calendar, que afecta a las versiones hasta la 10.9.2. Esta vulnerabilidad permite la inyección de scripts maliciosos a través del shortcode 'booking' para usuarios autenticados con rol de Contribuidor o superior.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja los datos introducidos por el usuario a través del shortcode 'booking'. La falta de una adecuada validación y sanitización de estos datos permite que un atacante inyecte código JavaScript en el DOM, lo que podría ser ejecutado en el navegador de otros usuarios que visualicen la página afectada.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de robo de información sensible, suplantación de identidad y manipulación de la experiencia del usuario en el sitio web. Esto podría resultar en pérdidas económicas y daños a la reputación de la empresa afectada.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso al panel de administración del sitio, ya que está limitada a usuarios autenticados con rol de Contribuidor o superior. Una vez dentro, el atacante puede insertar scripts maliciosos a través del shortcode mencionado.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Booking Calendar a la versión 10.9.3 o superior. Además, se debe revisar la configuración de permisos de los usuarios y considerar implementar medidas adicionales de sanitización y validación de datos en los formularios del sitio.

Señales de detección

Las señales que pueden indicar un posible riesgo o explotación incluyen informes de comportamientos extraños en el sitio, como redirecciones no autorizadas o la aparición de contenido inusual en las páginas donde se utiliza el shortcode 'booking'.

Alcance afectado

Las versiones del plugin Booking Calendar hasta la 10.9.2 son las afectadas. Se aconseja a los administradores de sitios que utilicen este plugin verificar su versión y proceder a la actualización correspondiente.