Fuente base de datos: Wordfence Intelligence

Online Scheduling and Appointment Booking System – Bookly <= 27.2 - Unauthenticated Stored Cross-Site Scripting via 'bookly-customer-full-name' Cookie en Bookly Responsive Appointment Booking Tool (Cross-Site Scripting (XSS)) - version 27.3

PLUGIN HIGH CVE-2026-5513

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) no autenticada en el plugin Bookly hasta la versión 27.2. Esta falla permite a un atacante inyectar scripts maliciosos, comprometiendo la seguridad de los usuarios y la integridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el manejo del cookie 'bookly-customer-full-name', lo que permite la inyección de código malicioso sin necesidad de autenticación. Esto expone el sitio a ataques XSS a través de peticiones manipuladas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de los usuarios, lo que podría resultar en robo de información sensible o desfiguración del sitio. Esto afecta tanto la confianza del usuario como la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando peticiones manipuladas que incluyen el cookie vulnerable, lo que les permite ejecutar código malicioso en el contexto del navegador de la víctima.

Mitigación recomendada

Actualizar el plugin Bookly a la versión 27.3 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier entrada de datos que pueda haber sido comprometida. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar riesgos de XSS.

Señales de detección

Monitorear logs de acceso para identificar patrones inusuales en las peticiones que incluyan el cookie 'bookly-customer-full-name'.

Alcance afectado

Las versiones de Bookly hasta la 27.2 son vulnerables. No se han reportado casos de explotación en versiones posteriores.