Quiz And Survey Master <= 7.3.10 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Quiz And Survey Master, afectando a las versiones hasta la 7.3.10. Esta vulnerabilidad presenta un alto nivel de severidad, con un CVSS de 8.8.

Contexto técnico

El fallo se produce debido a la falta de verificación adecuada en las solicitudes que modifican datos, lo que permite a un atacante enviar peticiones no autorizadas en nombre de un usuario autenticado. La superficie de ataque se centra en las interacciones que requieren permisos de usuario, facilitando la manipulación de datos sin el consentimiento del usuario.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante realizar acciones no autorizadas en la cuenta de un usuario, lo que podría comprometer la integridad de los datos y la confianza de los usuarios en la plataforma. Esto podría resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la creación de un enlace malicioso que un usuario autenticado es inducido a clicar, lo que desencadena acciones no deseadas en el sistema sin su conocimiento.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 7.3.11 o superior para mitigar esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en formularios y acciones críticas.

Señales de detección

Señales de posible explotación incluyen actividades inusuales en los registros de acceso, cambios inesperados en configuraciones o datos del plugin, y reportes de usuarios sobre acciones no autorizadas en sus cuentas.

Alcance afectado

Las versiones del plugin Quiz And Survey Master hasta la 7.3.10 están afectadas por esta vulnerabilidad. Las instalaciones que no han sido actualizadas a la versión 7.3.11 o superior son vulnerables.