Fuente base de datos: Wordfence Intelligence

Online Booking & Scheduling Calendar for WordPress by vcita <= 4.6.0 - Unauthenticated Stored Cross-Site Scripting via REST API 'business_id' Parameter en Meeting Scheduler BY Vcita (Cross-Site Scripting (XSS))

PLUGIN HIGH CVE-2026-14433

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Online Booking & Scheduling Calendar for WordPress by vcita' en versiones anteriores a la 4.6.0. Esta falla permite a un atacante no autenticado inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio y sus usuarios.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'business_id' de la API REST del plugin. Un atacante puede explotar esta falla enviando solicitudes maliciosas que no requieren autenticación, lo que facilita la inyección de código JavaScript en las páginas del sitio afectado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de los usuarios, lo que podría llevar al robo de información sensible o la manipulación de la interfaz del usuario. Esto puede afectar la confianza de los clientes y la integridad del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza a través de peticiones maliciosas a la API REST del plugin, donde se manipula el parámetro 'business_id' para inyectar código JavaScript.

Mitigación recomendada

Actualizar el plugin a la versión 4.6.0 o superior para cerrar la vulnerabilidad. Revisar y limpiar cualquier entrada de datos que pueda haber sido comprometida. Implementar medidas de seguridad adicionales, como la validación de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Monitorizar los registros de acceso en busca de solicitudes inusuales hacia la API REST del plugin, especialmente aquellas que manipulan el parámetro 'business_id'.

Alcance afectado

Las versiones del plugin 'Online Booking & Scheduling Calendar for WordPress by vcita' anteriores a la 4.6.0 son las afectadas. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

meeting-scheduler-by-vcita