Booking Calendar Contact Form <= 1.0.23 - Authenticated (Subscriber+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Booking Calendar Contact Form, afectando a versiones hasta la 1.0.23. Este fallo permite a usuarios autenticados (nivel Subscriber+) inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el componente del plugin Booking Calendar Contact Form, permitiendo a usuarios con permisos de suscriptor inyectar código JavaScript en campos de entrada. La exposición se da cuando los datos no son correctamente sanitizados al ser almacenados.

Impacto potencial

El impacto potencial incluye la posibilidad de realizar ataques de phishing y robo de información de usuarios. Esto puede afectar la reputación del negocio y la confianza de los usuarios, además de potenciales implicaciones legales por la exposición de datos.

Vector de explotación

La explotación se realiza mediante la inyección de scripts maliciosos en formularios accesibles para usuarios autenticados, que son posteriormente ejecutados en el navegador de otros usuarios que visualizan la información afectada.

Mitigación recomendada

Actualizar el plugin Booking Calendar Contact Form a la versión 1.0.23 o superior. Revisar y sanitizar todos los campos de entrada en formularios para evitar inyecciones de scripts. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar el riesgo de XSS.

Señales de detección

Revisar los logs de actividad en busca de entradas inusuales en formularios y cambios en la configuración del plugin que no sean autorizados.

Alcance afectado

Afecta a todas las instalaciones del plugin Booking Calendar Contact Form hasta la versión 1.0.23. No se han reportado casos en versiones posteriores.