Booking Manager – Sync WP Booking Calendar – Import Events, Export Bookings to ICS Calendar <= 2.1.18 - Authenticated (Subscriber+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 2.1.19

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS en el plugin Booking Manager, afectando a las versiones hasta la 2.1.18. Esta falla permite la ejecución de scripts maliciosos, comprometiendo la seguridad de los usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

La vulnerabilidad se manifiesta a través de un fallo de almacenamiento de XSS, que se puede activar cuando un usuario autenticado introduce datos no sanitizados en el sistema. Esto permite que un atacante ejecute código JavaScript en el navegador de otros usuarios que visualicen esos datos.

Impacto potencial

El impacto en la seguridad puede ser significativo, ya que permite a un atacante robar información sensible o manipular la sesión del usuario. Esto puede resultar en pérdida de confianza por parte de los usuarios y posibles repercusiones legales.

Vector de explotación

El vector de explotación típico implica que un atacante convenza a un usuario autenticado para que interactúe con un enlace malicioso que aproveche esta vulnerabilidad, inyectando scripts en las páginas que visitan.

Mitigación recomendada

Actualizar el plugin Booking Manager a la versión 2.1.19 o superior para corregir la vulnerabilidad. Revisar y sanitizar todos los datos introducidos por los usuarios en el sistema. Implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de XSS.

Señales de detección

Buscar en los registros de actividad del plugin cualquier entrada inusual o scripts no autorizados que se hayan ejecutado en el contexto de otros usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.1.19. No se han reportado casos de explotación en versiones más recientes.