WP Like Button <= 1.6.11 - Cross-Site Request Forgery via 'saveData'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin WP Like Button en versiones hasta la 1.6.11. Esta vulnerabilidad permite a un atacante realizar acciones no autorizadas en nombre de un usuario afectado.

Contexto técnico

El fallo se origina en el método 'saveData' del plugin, que no valida adecuadamente las solicitudes entrantes. Esto permite que un atacante envíe solicitudes maliciosas que pueden ser ejecutadas por usuarios autenticados sin su consentimiento.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de los datos y la confianza del usuario, permitiendo que un atacante realice acciones no deseadas en la cuenta de un usuario, lo que podría resultar en pérdida de datos o manipulación de contenido.

Vector de explotación

Generalmente, los atacantes aprovechan esta vulnerabilidad mediante la creación de formularios o enlaces maliciosos que, al ser activados por un usuario autenticado, desencadenan acciones no autorizadas en el plugin.

Mitigación recomendada

Actualizar el plugin WP Like Button a la versión 1.7.0 o superior. Además, se recomienda implementar medidas de seguridad adicionales como la verificación de tokens CSRF en formularios y solicitudes.

Señales de detección

Señales de riesgo incluyen actividad sospechosa en los registros de acciones del plugin, como cambios no autorizados en configuraciones o datos, así como un aumento inusual en las solicitudes al endpoint 'saveData'.

Alcance afectado

Las versiones del plugin WP Like Button hasta la 1.6.11 son vulnerables. Cualquier instalación que utilice estas versiones está en riesgo.