Booking Calendar <= 10.14.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via bookingcalendar Shortcode

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Booking Calendar en versiones hasta la 10.14.6, que permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos. Esta falla se corrige en la versión 10.14.7, publicada el 4 de diciembre de 2025.

Contexto técnico

El fallo se presenta a través del shortcode 'bookingcalendar', permitiendo la inyección de código JavaScript en el contexto de la aplicación. Esto ocurre cuando los datos no son correctamente sanitizados antes de ser procesados, exponiendo la superficie de ataque a usuarios autenticados.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de la información del usuario y la integridad del sitio, permitiendo a un atacante robar sesiones o realizar acciones no autorizadas en nombre del usuario afectado. Esto podría tener repercusiones negativas en la reputación del negocio y en la confianza de los clientes.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de contenido malicioso que se inserta a través del shortcode vulnerable, que luego es visualizado por otros usuarios autenticados, ejecutando así el script inyectado.

Mitigación recomendada

Actualizar el plugin Booking Calendar a la versión 10.14.7 o superior. Además, se recomienda realizar una revisión de los permisos de usuario y aplicar medidas de seguridad adicionales, como la validación y sanitización de datos en formularios.

Señales de detección

Señales de que esta vulnerabilidad podría estar siendo explotada incluyen la aparición de comportamientos inusuales en la interfaz de usuario, redirecciones inesperadas o la inyección de contenido no autorizado en las páginas del sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 10.14.7 del plugin Booking Calendar. Se recomienda a los usuarios que verifiquen la versión instalada en sus sitios.