Kudos Donations – Easy donations and payments with Mollie < 3.1.2 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Kudos Donations, que afecta a las versiones anteriores a la 3.1.2. Esta vulnerabilidad presenta un alto nivel de severidad, con un CVSS de 8.8.

Contexto técnico

El fallo se origina en la falta de verificación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones maliciosas en nombre de un usuario autenticado. Esto puede comprometer la integridad de las donaciones y pagos gestionados a través del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante realizar acciones no autorizadas en el sistema, lo que podría resultar en pérdidas financieras y daño a la reputación de la organización. Además, podría comprometer la confianza de los usuarios en la plataforma.

Vector de explotación

Normalmente, la explotación se lleva a cabo mediante el envío de un enlace o una petición maliciosa a un usuario autenticado, que al hacer clic, ejecuta acciones no deseadas sin su consentimiento.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Kudos Donations a la versión 3.1.2 o superior. Además, se deben implementar prácticas de seguridad como la verificación de tokens en las solicitudes y la educación de los usuarios sobre los riesgos de CSRF.

Señales de detección

Señales de posible explotación incluyen actividades inusuales en las transacciones de donaciones, así como la presencia de solicitudes no autorizadas en los registros del servidor.

Alcance afectado

Las versiones del plugin Kudos Donations anteriores a la 3.1.2 son las que se ven afectadas por esta vulnerabilidad.