WP-chgFontSize <= 1.8 - Cross-Site Request Forgery to Settings Update and Stored Cross-Site Scripting en WP Chgfontsize (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WP-chgFontSize, que permite ataques de Cross-Site Request Forgery (CSRF) y Cross-Site Scripting (XSS) almacenado. Esta vulnerabilidad afecta a las versiones anteriores a la 1.8 del plugin.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes que modifican la configuración del plugin, lo que permite a un atacante enviar peticiones maliciosas que pueden ser ejecutadas en el contexto de un usuario autenticado. Esto puede resultar en la inyección de scripts maliciosos en la configuración del plugin, facilitando ataques XSS.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios del sitio, permitiendo a un atacante ejecutar scripts en sus navegadores. Esto puede llevar al robo de información sensible o a la manipulación de la experiencia del usuario, afectando la reputación y la confianza en el sitio web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando enlaces maliciosos a usuarios autenticados que, al hacer clic, ejecutan acciones no autorizadas en el plugin sin su conocimiento.

Mitigación recomendada

Actualizar el plugin WP-chgFontSize a la versión 1.8 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de solicitudes y el uso de tokens CSRF.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración del plugin, así como reportes de comportamientos anómalos o scripts no autorizados ejecutándose en el navegador de los usuarios.

Alcance afectado

Las versiones del plugin WP-chgFontSize anteriores a la 1.8 son las afectadas. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión.