GiveWP <= 2.25.2 - Cross-Site Request Forgery via give_ajax_delete_payment_note

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin GiveWP, que afecta a versiones hasta la 2.25.2. Esta vulnerabilidad puede permitir a un atacante realizar acciones no autorizadas en nombre de un usuario autenticado.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes en el endpoint 'give_ajax_delete_payment_note'. Esto permite que un atacante envíe solicitudes maliciosas que pueden ser ejecutadas por usuarios autenticados sin su consentimiento.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante borrar notas de pago de forma no autorizada, lo que podría afectar la integridad de los datos y la confianza de los usuarios en la plataforma de donaciones.

Vector de explotación

Generalmente, la explotación se realiza mediante el envío de una solicitud AJAX manipulada a la aplicación web, aprovechando la sesión activa de un usuario legítimo.

Mitigación recomendada

Se recomienda actualizar el plugin GiveWP a la versión 2.25.3 o superior para corregir esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales como la verificación de tokens CSRF en todas las solicitudes AJAX.

Señales de detección

Se deben monitorizar los registros de actividad para detectar solicitudes inusuales o no autorizadas relacionadas con la eliminación de notas de pago, así como verificar la presencia de solicitudes AJAX que no incluyan los tokens de validación esperados.

Alcance afectado

Las versiones del plugin GiveWP hasta la 2.25.2 están afectadas por esta vulnerabilidad, por lo que se recomienda a todos los usuarios que utilicen estas versiones realizar la actualización correspondiente.