CALL ME NOW <= 3.0 - Cross-Site Request Forgery en Lokalyze Call NOW (Cross-Site Request Forgery (CSRF))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin 'Call Me Now' hasta la versión 3.0. Esta vulnerabilidad podría permitir a un atacante realizar acciones no autorizadas en nombre de un usuario autenticado.

Contexto técnico

La vulnerabilidad se origina en la falta de verificación adecuada de las solicitudes, permitiendo que un atacante envíe peticiones maliciosas que el servidor podría interpretar como legítimas. Esto afecta a la superficie de ataque del plugin, ya que puede ser explotado a través de formularios o enlaces manipulados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante realizar acciones en la cuenta de un usuario autenticado, lo que podría comprometer datos sensibles o alterar la configuración del plugin. Esto podría resultar en pérdidas financieras y daños a la reputación de la empresa.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante el envío de un enlace o un formulario malicioso a un usuario autenticado, quien, al interactuar con él, podría desencadenar acciones no deseadas sin su consentimiento.

Mitigación recomendada

Se recomienda actualizar el plugin 'Call Me Now' a la versión 3.0 o superior, donde la vulnerabilidad ha sido corregida. Además, implementar medidas de seguridad adicionales como la verificación de nonce en formularios y la monitorización de actividades sospechosas.

Señales de detección

Señales de riesgo incluyen peticiones sospechosas que no contienen los tokens de verificación esperados, así como cambios inesperados en la configuración del plugin o en las cuentas de usuario.

Alcance afectado

Las versiones del plugin 'Call Me Now' anteriores a la 3.0 están afectadas por esta vulnerabilidad.