Easy Pricing Tables <= 3.1.2 - Arbitrary Post Removal via Cross-Site Request Forgery

Resumen ejecutivo

La vulnerabilidad identificada en el plugin Easy Pricing Tables permite la eliminación arbitraria de publicaciones mediante un ataque de Cross-Site Request Forgery (CSRF). Esta vulnerabilidad, catalogada con una severidad media, afecta a las versiones hasta la 3.1.2 y ha sido corregida en la versión 3.1.3.

Contexto técnico

El fallo se origina en la falta de validación de las solicitudes que permiten a un atacante realizar acciones no autorizadas en nombre de un usuario autenticado. Esto se traduce en la posibilidad de eliminar publicaciones sin el consentimiento del propietario del sitio.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la pérdida de datos críticos y la alteración del contenido del sitio, lo que podría afectar negativamente la reputación y la operativa del negocio, así como la confianza de los usuarios.

Vector de explotación

Los atacantes pueden enviar solicitudes maliciosas a los usuarios autenticados mediante enlaces o formularios engañosos, aprovechando la falta de protección CSRF en el plugin.

Mitigación recomendada

Actualizar el plugin Easy Pricing Tables a la versión 3.1.3 o superior. Además, se recomienda implementar medidas de seguridad adicionales como la verificación de nonce en formularios y la revisión de permisos de usuario.

Señales de detección

Monitorear registros de actividad del sitio en busca de eliminaciones inusuales de publicaciones y verificar si hay solicitudes sospechosas que no se correspondan con la actividad habitual de los usuarios.

Alcance afectado

Las versiones del plugin Easy Pricing Tables hasta la 3.1.2 están afectadas. Las instalaciones que no han sido actualizadas a la versión 3.1.3 son vulnerables.