VikBooking Hotel Booking Engine & PMS <= 1.5.12 - Cross-Site Request Forgery in admin_widgets_welcome function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin VikBooking Hotel Booking Engine & PMS, que afecta a versiones hasta la 1.5.12. Este fallo puede comprometer la seguridad de las acciones administrativas en el plugin.

Contexto técnico

La vulnerabilidad se encuentra en la función admin_widgets_welcome del plugin, permitiendo que un atacante pueda realizar acciones no autorizadas en nombre de un usuario autenticado. El ataque se aprovecha de la falta de validación de tokens CSRF, lo que facilita la ejecución de solicitudes maliciosas.

Impacto potencial

El potencial impacto de esta vulnerabilidad puede incluir la manipulación no autorizada de configuraciones del plugin, acceso a datos sensibles y, en última instancia, el control sobre la gestión del sistema de reservas. Esto puede derivar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen enviar enlaces maliciosos a los usuarios autenticados, engañándolos para que realicen acciones en el sistema sin su conocimiento, aprovechando la sesión activa del usuario.

Mitigación recomendada

Actualizar el plugin VikBooking a la versión 1.6.0 o superior es esencial para mitigar esta vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de tokens CSRF en todas las solicitudes sensibles.

Señales de detección

Señales de posible explotación incluyen actividades inusuales en el registro de acciones del administrador, cambios inesperados en la configuración del plugin y alertas de seguridad relacionadas con solicitudes no autorizadas.

Alcance afectado

Las versiones del plugin VikBooking hasta la 1.5.12 se ven afectadas por esta vulnerabilidad. Es crucial que los usuarios de estas versiones realicen la actualización correspondiente.