Online Scheduling and Appointment Booking System – Bookly <= 27.7 - Unauthenticated Stored Cross-Site Scripting en Bookly Responsive Appointment Booking Tool (Cross-Site Scripting (XSS)) - version 27.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de tipo Cross-Site Scripting (XSS) en el plugin Bookly, que afecta a versiones hasta la 27.7. Esta falla permite la ejecución de scripts maliciosos, lo que podría comprometer la seguridad de la instalación y la privacidad de los usuarios.

Contexto técnico

La vulnerabilidad se encuentra en el sistema de programación de citas del plugin Bookly, permitiendo la inyección de scripts maliciosos sin autenticación previa. Esto se traduce en una superficie de ataque accesible para cualquier usuario no autenticado que interactúe con el sistema.

Impacto potencial

El impacto potencial incluye la posibilidad de que atacantes roben información sensible de los usuarios o realicen acciones no autorizadas en nombre de ellos. Esto puede resultar en daños a la reputación de la empresa y pérdida de confianza por parte de los clientes.

Vector de explotación

La explotación de esta vulnerabilidad se puede llevar a cabo mediante la inclusión de scripts en formularios o entradas de datos que no son debidamente sanitizados, lo que permite la ejecución de código en el contexto del navegador de otros usuarios.

Mitigación recomendada

Actualizar el plugin Bookly a la versión 27.8 o superior para corregir la vulnerabilidad. Revisar y sanitizar adecuadamente todas las entradas de usuarios en formularios relacionados con el plugin. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar el riesgo de XSS.

Señales de detección

Monitorear logs de acceso en busca de patrones inusuales de interacción con el plugin y verificar la configuración de seguridad del mismo.

Alcance afectado

Las versiones de Bookly hasta la 27.7 son vulnerables. No se ha confirmado la afectación en versiones posteriores a la 27.8.