Starter Templates — Elementor, WordPress & Beaver Builder Templates <= 3.1.20 - Cross-Site Request Forgery in add_to_favorite

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Starter Templates para Elementor, WordPress y Beaver Builder, que afecta a versiones anteriores a 3.1.20. Esta vulnerabilidad puede ser explotada para realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las solicitudes, permitiendo que un atacante envíe peticiones maliciosas que podrían ser ejecutadas por un usuario autenticado sin su consentimiento. Esto afecta principalmente a las funcionalidades relacionadas con la adición a favoritos dentro del plugin.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría manipular la configuración del sitio o realizar acciones no deseadas, lo que podría comprometer la integridad del sitio y la confianza de los usuarios. Esto puede llevar a pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de enlaces o formularios maliciosos que, al ser visitados o enviados por un usuario autenticado, ejecutan acciones no autorizadas en el sitio web.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Starter Templates a la versión 3.2.21 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de tokens CSRF en todas las solicitudes que modifiquen el estado del servidor.

Señales de detección

Las señales de posible explotación incluyen actividades inusuales en el registro de acciones del usuario, como cambios inesperados en las configuraciones de favoritos o la aparición de peticiones HTTP sospechosas en los logs del servidor.

Alcance afectado

Las versiones del plugin Starter Templates para Elementor, WordPress y Beaver Builder anteriores a la 3.1.20 están afectadas. Se aconseja revisar todas las instalaciones que utilicen este plugin.