Advanced Menu Manager <= 2.9.6 - Cross-Site Request Forgery to Menu Edition

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Advanced Menu Manager, que afecta a las versiones hasta la 2.9.6. Esta vulnerabilidad presenta un alto nivel de severidad, con un CVSS de 8.8, lo que la convierte en un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes de edición de menús, lo que permite a un atacante ejecutar acciones no autorizadas en nombre de un usuario legítimo. Esta vulnerabilidad se manifiesta en la superficie de ataque a través de formularios que no implementan medidas de protección contra CSRF.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante modificar la configuración del menú del sitio web, lo que podría llevar a la redirección de usuarios a sitios maliciosos o a la manipulación de contenido, afectando tanto la reputación como la integridad del negocio.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante el envío de solicitudes maliciosas a través de enlaces engañosos o formularios manipulados, que el usuario víctima puede activar sin ser consciente del riesgo.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Advanced Menu Manager a la versión 3.0 o superior, donde la vulnerabilidad ha sido corregida. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de nonce en formularios y la revisión de permisos de usuario.

Señales de detección

Señales de riesgo pueden incluir cambios inesperados en la configuración del menú o reportes de usuarios que experimentan redirecciones inusuales. Monitorear los registros de actividad del plugin también puede ayudar a identificar acciones no autorizadas.

Alcance afectado

Las versiones del plugin Advanced Menu Manager hasta la 2.9.6 están afectadas por esta vulnerabilidad. Se recomienda a los administradores de sitios que utilicen este plugin verificar la versión instalada.