Redirect Redirection <= 1.1.3 - Cross-Site Request Forgery via 'addRedirect' function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Redirect Redirection, que afecta a las versiones anteriores a la 1.1.4. Esta vulnerabilidad permite a un atacante realizar acciones no autorizadas en nombre de un usuario autenticado.

Contexto técnico

El fallo se encuentra en la función 'addRedirect' del plugin, que no valida adecuadamente las solicitudes entrantes. Esto permite que un atacante envíe peticiones maliciosas que el servidor puede interpretar como acciones legítimas del usuario.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que podría permitir a un atacante modificar configuraciones del plugin o redirigir tráfico, lo que podría comprometer la integridad del sitio y afectar negativamente la experiencia del usuario.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante el envío de una solicitud HTTP maliciosa a un usuario autenticado, engañándolo para que visite un enlace que desencadene la acción no autorizada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Redirect Redirection a la versión 1.1.4 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de tokens CSRF en las solicitudes.

Señales de detección

Las señales de posible explotación incluyen un aumento en las solicitudes HTTP inusuales hacia la función 'addRedirect' y cambios inesperados en las configuraciones del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.1.4 del plugin Redirect Redirection, publicado antes del 22 de febrero de 2023.