YOGO Booking <= 1.6.2 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin YOGO Booking, que afecta a las versiones hasta la 1.6.2. La vulnerabilidad permite la inyección de scripts maliciosos por usuarios autenticados con rol de colaborador o superior.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja la entrada de datos, permitiendo que se almacenen scripts en el servidor y se ejecuten en el navegador de otros usuarios. Esto se produce cuando un usuario autenticado inserta contenido que no es debidamente validado o sanitizado.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la aplicación, permitiendo a un atacante ejecutar scripts en el contexto de otros usuarios. Esto podría resultar en el robo de información sensible, suplantación de identidad y otros ataques dirigidos a los usuarios del sitio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al engañar a un usuario autenticado para que introduzca un script malicioso, que luego se almacena y se ejecuta en las sesiones de otros usuarios que visitan la página afectada.

Mitigación recomendada

Actualizar el plugin YOGO Booking a la versión 1.6.3 o superior. Además, se recomienda revisar y sanitizar adecuadamente todas las entradas de usuario y aplicar controles de acceso adecuados para minimizar el riesgo de explotación.

Señales de detección

Señales de posible explotación incluyen la presencia de scripts inusuales en las entradas de datos, cambios no autorizados en el contenido del sitio, o informes de comportamientos extraños por parte de los usuarios.

Alcance afectado

Las versiones del plugin YOGO Booking hasta la 1.6.2 están afectadas. Los usuarios que tengan versiones posteriores están protegidos de esta vulnerabilidad.