Two Way CHAT – Send or receive messages to your user <= 3.1.4 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Two Way CHAT, que permite enviar o recibir mensajes a los usuarios. Esta vulnerabilidad afecta a las versiones hasta la 3.1.4 y tiene una severidad alta con un CVSS de 8.8.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones maliciosas en nombre de un usuario autenticado. Esto puede comprometer la integridad de las comunicaciones entre el usuario y el sistema, permitiendo acciones no autorizadas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la manipulación de mensajes enviados o recibidos, lo que podría afectar la confianza del usuario y la reputación del negocio. Además, puede llevar a la divulgación de información sensible o a la realización de acciones no deseadas en la cuenta del usuario.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante el envío de enlaces maliciosos a los usuarios, induciéndolos a hacer clic y ejecutar acciones no autorizadas sin su conocimiento.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Two Way CHAT a la versión 3.1.5 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en las solicitudes.

Señales de detección

Señales que podrían indicar riesgo incluyen un aumento inusual en las peticiones de mensajes en el plugin, así como reportes de acciones no autorizadas por parte de los usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.1.5 del plugin Two Way CHAT.