Online Scheduling and Appointment Booking System – Bookly <= 27.0 - Unauthenticated Price Manipulation via 'tips'

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Bookly (versiones <= 27.0) que permite la manipulación no autenticada de precios a través del parámetro 'tips'. Esta falla puede comprometer la integridad de los precios y afectar la operación del sistema de reservas.

Contexto técnico

La vulnerabilidad se presenta como un fallo de bypass de autenticación en el plugin de programación de citas Bookly. Un atacante puede modificar los precios de los servicios sin necesidad de autenticación, lo que expone la superficie de ataque a cualquier usuario que conozca el vector de explotación.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que la manipulación de precios puede resultar en pérdidas financieras y en la desconfianza de los clientes. Además, la seguridad de los datos de los usuarios puede verse comprometida, afectando la reputación de la empresa.

Vector de explotación

La explotación se realiza mediante la modificación del parámetro 'tips' en las solicitudes, permitiendo a un atacante alterar los precios sin autenticación previa.

Mitigación recomendada

Actualizar el plugin Bookly a la versión 27.1 o superior para corregir la vulnerabilidad. Revisar y ajustar las configuraciones de seguridad del plugin para limitar el acceso a funciones críticas. Implementar medidas de monitoreo para detectar accesos no autorizados y modificaciones inusuales en los precios.

Señales de detección

Señales a observar incluyen registros de cambios en precios sin autenticación, así como accesos inusuales a las funciones de gestión de precios en el plugin.

Alcance afectado

Las versiones afectadas son todas las versiones de Bookly hasta la 27.0. Las instalaciones que han actualizado a la versión 27.1 o superior no están en riesgo.