Smart Appointment & Booking <= 1.0.8 - Missing Authorization to Unauthenticated Arbitrary Booking Cancellation en Smart Appointment Booking (falta de autorizacion) - version 2.0.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Smart Appointment & Booking, que permite la cancelación arbitraria de citas por usuarios no autenticados. Esto puede comprometer la integridad de las reservas y afectar la operación del negocio.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para el proceso de cancelación de citas, permitiendo que cualquier usuario no autenticado pueda ejecutar esta acción. La superficie de ataque se centra en las funciones de cancelación disponibles en el plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la pérdida de citas legítimas y generar desconfianza entre los usuarios, afectando la reputación del negocio. Además, puede resultar en un impacto financiero si se pierden reservas importantes.

Vector de explotación

Los atacantes pueden realizar solicitudes directas a la funcionalidad de cancelación de citas sin necesidad de autenticarse, lo que facilita el acceso no autorizado a esta función.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 2.0.0. Actualiza smart-appointment-booking a la versión 2.0.0 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 2.0.0, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Revisar los logs de acceso para identificar intentos de cancelación de citas por parte de usuarios no autenticados y monitorizar cambios en el estado de las citas sin registro de autenticación.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin Smart Appointment & Booking hasta la 1.0.8. No se han confirmado casos en versiones posteriores.