Tennis Court Bookings <= 1.2.7 - Authenticated (Administrator+) Stored Cross-Site Scripting via Admin Settings and Calendar Parameters

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Tennis Court Bookings' en versiones hasta la 1.2.7. Esta vulnerabilidad permite a administradores autenticados inyectar scripts maliciosos a través de la configuración del plugin y parámetros del calendario.

Contexto técnico

El fallo se origina en la falta de validación adecuada de los datos introducidos en los ajustes del plugin y en los parámetros del calendario. Esto permite a un atacante con privilegios de administrador ejecutar código JavaScript no autorizado en el navegador de otros usuarios que accedan a las páginas afectadas.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio, permitiendo a un atacante robar información sensible, manipular sesiones de usuario o realizar acciones no autorizadas en nombre de otros usuarios, lo que puede tener repercusiones significativas en la reputación y operación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al modificar los ajustes del plugin o los parámetros del calendario, insertando código JavaScript malicioso que se ejecuta cuando otros usuarios acceden a las páginas afectadas.

Mitigación recomendada

Actualizar el plugin 'Tennis Court Bookings' a la versión 1.2.7 o superior. Además, se recomienda revisar y sanitizar todos los datos introducidos en los ajustes del plugin y aplicar medidas de seguridad adicionales, como la implementación de Content Security Policy (CSP).

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o cambios en la interfaz de usuario. También se deben monitorizar los registros de actividad para detectar modificaciones no autorizadas en los ajustes del plugin.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin 'Tennis Court Bookings' hasta la 1.2.7, lo que incluye todas las instalaciones que no han sido actualizadas.