Church Admin <= 3.4.134 - Cross-Site Request Forgery leading to Plugin Backup Disclosure

Resumen ejecutivo

La vulnerabilidad identificada en el plugin Church Admin, hasta la versión 3.4.134, permite la divulgación de copias de seguridad a través de un ataque de Cross-Site Request Forgery (CSRF). Este fallo tiene una severidad media, con un CVSS de 4.3.

Contexto técnico

El problema radica en la falta de validación adecuada de las solicitudes, lo que permite a un atacante ejecutar acciones no autorizadas en el contexto de un usuario autenticado. Esto puede llevar a la exposición de datos sensibles almacenados en copias de seguridad del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la información sensible del sitio, afectando la confianza de los usuarios y la integridad de los datos. Además, podría resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Generalmente, los atacantes envían solicitudes maliciosas a la víctima, engañándola para que realice acciones no deseadas que revelen datos sensibles del plugin, como copias de seguridad.

Mitigación recomendada

Se recomienda actualizar el plugin Church Admin a la versión 3.4.135 o superior. Además, implementar medidas de seguridad adicionales como la verificación de nonce en las solicitudes y la monitorización de actividades sospechosas.

Señales de detección

Señales de posible explotación incluyen solicitudes inusuales en el registro de actividad del plugin, especialmente aquellas que intentan acceder a funciones de copia de seguridad sin la debida autorización.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.4.135 del plugin Church Admin.