Make Paths Relative <= 1.3.0 - Cross-Site Request Forgery via 'admin/class-make-paths-relative-admin.php'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Make Paths Relative, que afecta a las versiones hasta la 1.3.0. Esta falla permite a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

La vulnerabilidad se localiza en el archivo 'admin/class-make-paths-relative-admin.php' del plugin. El CSRF permite a un atacante enviar solicitudes maliciosas a través de un navegador web, engañando a los usuarios autenticados para que realicen acciones no deseadas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar acciones en el sitio web que podrían comprometer la integridad de los datos o la configuración del mismo. Esto podría resultar en pérdida de datos o alteraciones no autorizadas que afecten la operatividad del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando enlaces maliciosos a los usuarios, que al hacer clic en ellos, envían solicitudes no autorizadas al servidor, aprovechando la sesión activa del usuario.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Make Paths Relative a la versión 2.0.0 o superior. Además, es aconsejable implementar medidas de seguridad adicionales como la verificación de tokens CSRF en formularios y acciones críticas.

Señales de detección

Señales de posible explotación incluyen actividad inusual en el panel de administración, cambios no autorizados en la configuración del plugin o en las rutas de los archivos, así como registros de solicitudes HTTP sospechosas que coincidan con patrones de CSRF.

Alcance afectado

Las versiones del plugin Make Paths Relative hasta la 1.3.0 son las afectadas por esta vulnerabilidad. Se recomienda a los administradores de WordPress verificar la versión instalada y proceder a la actualización.