SP Project & Document Manager <= 2.5.9.5 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin SP Project & Document Manager, afectando a versiones hasta la 2.5.9.5. Esta vulnerabilidad presenta un alto nivel de severidad, con un CVSS de 8.8.

Contexto técnico

La vulnerabilidad CSRF permite a un atacante inducir a un usuario autenticado a realizar acciones no deseadas en una aplicación web. En este caso, afecta al plugin SP Project & Document Manager, lo que podría comprometer la integridad de los documentos y proyectos gestionados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar acciones maliciosas en nombre de un usuario legítimo, lo que podría resultar en la pérdida de datos o la alteración de información crítica para el negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de enlaces o formularios maliciosos que, al ser activados por un usuario autenticado, ejecutan comandos no autorizados en el sistema.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.6.0.0 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de tokens CSRF en formularios y el uso de cabeceras HTTP adecuadas.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en documentos o proyectos, así como actividad inusual en las cuentas de usuarios que gestionan el plugin.

Alcance afectado

Las versiones del plugin SP Project & Document Manager hasta la 2.5.9.5 están afectadas por esta vulnerabilidad. Las versiones posteriores no presentan este fallo.