Import External Images <= 1.4 - Cross-Site Request Forgery via external_image_import_all_ajax

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin 'Import External Images' en versiones anteriores a la 1.4. Esta falla permite a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes que utilizan el endpoint 'external_image_import_all_ajax'. Esto permite que un atacante envíe solicitudes maliciosas que pueden ser ejecutadas por el usuario sin su consentimiento.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante realizar acciones no autorizadas en el sitio, lo que podría comprometer la integridad de los datos y la seguridad del negocio. Esto podría resultar en pérdidas económicas y daños a la reputación.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de formularios maliciosos que, al ser enviados por un usuario autenticado, ejecutan acciones indeseadas en el sitio web.

Mitigación recomendada

Actualizar el plugin 'Import External Images' a la versión 1.4 o superior. Además, se recomienda implementar medidas de seguridad adicionales como la validación de nonce y el uso de políticas de seguridad de contenido.

Señales de detección

Señales de posible explotación incluyen solicitudes inusuales al endpoint 'external_image_import_all_ajax', especialmente desde usuarios autenticados que no han realizado acciones relacionadas con la importación de imágenes.

Alcance afectado

Las versiones del plugin 'Import External Images' anteriores a la 1.4 están afectadas. Se recomienda a los administradores de WordPress que verifiquen sus instalaciones para asegurar que están utilizando la versión corregida.