Drag and Drop Multiple File Upload – Contact Form 7 <= 1.3.6.5 - Cross-Site Request Forgery in dnd_upload_cf7_upload and dnd_codedropz_upload_delete

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin 'Drag and Drop Multiple File Upload – Contact Form 7' en versiones hasta la 1.3.6.5. Esta vulnerabilidad, con un nivel de severidad alto, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se encuentra en las funciones 'dnd_upload_cf7_upload' y 'dnd_codedropz_upload_delete', las cuales no implementan adecuadamente mecanismos de verificación de solicitudes, permitiendo a un atacante enviar peticiones maliciosas en nombre de un usuario autenticado.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante ejecute acciones no autorizadas en la instalación de WordPress, lo que podría llevar a la manipulación de datos o a la ejecución de código malicioso, afectando la integridad y disponibilidad del sitio web.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la creación de formularios o enlaces maliciosos que, al ser activados por un usuario autenticado, desencadenan acciones no deseadas en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.3.6.6 o superior. Además, se deben implementar controles adicionales como la verificación de nonce en las solicitudes y la revisión de permisos de usuario.

Señales de detección

Señales de riesgo incluyen actividad inusual en los registros de acceso, como múltiples intentos de carga de archivos o eliminación de datos sin el consentimiento del usuario, así como alertas de seguridad generadas por plugins de protección.

Alcance afectado

Las versiones afectadas son todas aquellas hasta la 1.3.6.5 del plugin 'Drag and Drop Multiple File Upload – Contact Form 7'.