Import any XML or CSV File to WordPress <= 3.2.4 - Missing Authorization and Cross-Site Request Forgery Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo CSRF en el plugin WP All Import Pro, que afecta a las versiones hasta la 3.2.4. Esta falla permite que un atacante realice acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización y verificación de CSRF, lo que permite que un atacante envíe solicitudes maliciosas a través de un sitio web comprometido. Esto puede llevar a la ejecución de acciones no deseadas en la instalación de WordPress.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante potencialmente manipular datos o realizar cambios en la configuración del sitio, afectando tanto la integridad de la información como la confianza de los usuarios en el sitio web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la ingeniería social, induciendo a los usuarios a hacer clic en enlaces maliciosos que ejecutan acciones no autorizadas en el contexto de su sesión activa en WordPress.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP All Import Pro a la versión 4.1.2 o superior, así como implementar medidas adicionales de seguridad, como la verificación de tokens CSRF en formularios y la limitación de permisos de usuario.

Señales de detección

Señales de riesgo incluyen actividades inusuales en la administración del sitio, como cambios inesperados en la configuración o en los datos importados, así como el monitoreo de solicitudes que no incluyen los tokens de verificación CSRF adecuados.

Alcance afectado

Las versiones del plugin WP All Import Pro hasta la 3.2.4 están afectadas por esta vulnerabilidad. Las versiones posteriores, a partir de la 4.1.2, han sido corregidas.