Perelink Pro <= 2.1.4 - Cross-Site Request Forgery to Settings Update (Cross-Site Request Forgery (CSRF))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Perelink Pro hasta la versión 2.1.4. Esta vulnerabilidad permite la manipulación no autorizada de la configuración del plugin, lo que puede comprometer la seguridad del sitio.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes que actualizan la configuración del plugin. Los atacantes pueden enviar solicitudes maliciosas que son aceptadas por el sistema, lo que les permite modificar parámetros críticos sin el consentimiento del usuario.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría alterar la configuración del plugin, lo que podría llevar a la pérdida de datos, cambios en la funcionalidad del sitio o incluso la toma de control del mismo. Esto puede resultar en daños a la reputación del negocio y pérdida de confianza por parte de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza a través de la ingeniería social, donde se engaña a un usuario autenticado para que realice una acción que desencadene la solicitud maliciosa, como hacer clic en un enlace comprometido.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Perelink Pro a la versión 2.1.4 o superior. Además, es aconsejable implementar medidas de seguridad adicionales, como la verificación de nonce en las solicitudes y la revisión regular de los permisos de los usuarios.

Señales de detección

Se deben monitorizar los registros de actividad del plugin en busca de cambios inesperados en la configuración o solicitudes inusuales que no provengan de fuentes legítimas.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Perelink Pro anteriores a la 2.1.4. Esto incluye cualquier instalación que no haya sido actualizada desde la publicación de la vulnerabilidad el 24 de julio de 2023.