GiveWP <= 2.25.2 - Cross-Site Request Forgery via give_ajax_store_payment_note

Resumen ejecutivo

La vulnerabilidad identificada en el plugin GiveWP hasta la versión 2.25.2 permite ataques de Cross-Site Request Forgery (CSRF), lo que podría comprometer la seguridad de las transacciones. Esta falla fue corregida en la versión 2.25.3, publicada el 23 de marzo de 2023.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes AJAX, permitiendo que un atacante envíe peticiones maliciosas en nombre de un usuario autenticado. Esto afecta la funcionalidad de almacenamiento de notas de pago dentro del plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la manipulación de datos sensibles relacionados con pagos, lo que podría resultar en pérdidas financieras y en la confianza del usuario hacia la plataforma. La severidad se clasifica como media, con un puntaje CVSS de 5.3.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de formularios o enlaces maliciosos que inducen a los usuarios autenticados a realizar acciones no deseadas sin su consentimiento.

Mitigación recomendada

Se recomienda actualizar el plugin GiveWP a la versión 2.25.3 o superior. Además, se sugiere implementar medidas adicionales de seguridad, como la verificación de nonce en las solicitudes AJAX y la revisión de permisos de usuario.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en las notas de pago o en la configuración del plugin, así como un aumento en el tráfico AJAX desde fuentes no autorizadas.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin GiveWP hasta la 2.25.2. Las instalaciones que no han actualizado a la versión 2.25.3 o superior están en riesgo.