Redirect Redirection <= 1.1.3 - Cross-Site Request Forgery via 'addRedirectRule' function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Redirect Redirection en versiones hasta la 1.1.3. Esta falla permite a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

El fallo se origina en la función 'addRedirectRule', que no implementa adecuadamente las medidas de protección contra CSRF. Esto permite que un atacante envíe solicitudes maliciosas que puedan ser ejecutadas por el usuario sin su consentimiento.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de la configuración de redirección del sitio, lo que podría llevar a redirecciones maliciosas y afectar la confianza de los usuarios, así como la reputación del negocio.

Vector de explotación

Generalmente, un atacante podría engañar a un usuario autenticado para que haga clic en un enlace malicioso que desencadene la función vulnerable, permitiendo la ejecución de acciones no deseadas.

Mitigación recomendada

Actualizar el plugin Redirect Redirection a la versión 1.1.4 o posterior para corregir la vulnerabilidad. Además, se recomienda implementar medidas adicionales de seguridad como la validación de nonce en las solicitudes.

Señales de detección

Señales de explotación pueden incluir registros inusuales de cambios en las reglas de redirección o actividad sospechosa en las sesiones de usuario que no corresponden con las acciones realizadas.

Alcance afectado

Las versiones del plugin Redirect Redirection hasta la 1.1.3 son las afectadas. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión.