Redirect Redirection <= 1.1.3 - Cross-Site Request Forgery via 'deleteRedirect' function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Redirect Redirection en versiones hasta la 1.1.3. Este fallo permite a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

La vulnerabilidad se encuentra en la función 'deleteRedirect' del plugin, que no valida adecuadamente las solicitudes, permitiendo que un atacante envíe peticiones maliciosas que pueden ser ejecutadas sin el consentimiento del usuario.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante elimine redirecciones sin autorización, lo que podría afectar la funcionalidad del sitio y la experiencia del usuario, además de comprometer la integridad de los datos.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo mediante el envío de una solicitud maliciosa a la función vulnerable, que puede ser desencadenada por un enlace o un formulario engañoso.

Mitigación recomendada

Para mitigar el riesgo, se recomienda actualizar el plugin Redirect Redirection a la versión 1.1.4 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en formularios sensibles.

Señales de detección

Señales de posible explotación incluyen un aumento inusual en las solicitudes a la función 'deleteRedirect' o cambios inesperados en las redirecciones configuradas en el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.1.4 del plugin Redirect Redirection.