DeepL Pro API translation <= 2.4.1.1 - Cross-Site Request Forgery via wpdeepl_prune_logs

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin DeepL Pro API translation hasta la versión 2.4.1.1. Esta vulnerabilidad puede permitir a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

El fallo se origina en la función wpdeepl_prune_logs, que no implementa adecuadamente las medidas de seguridad necesarias para validar las solicitudes. Esto permite que un atacante envíe peticiones maliciosas que pueden ser ejecutadas sin el consentimiento del usuario, afectando la integridad de la aplicación.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la instalación de WordPress, permitiendo a un atacante realizar acciones que podrían afectar la funcionalidad del sitio o robar información sensible. Esto puede traducirse en pérdidas económicas y en daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de formularios maliciosos o enlaces que, al ser visitados por un usuario autenticado, ejecutan acciones no deseadas en el sitio afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin DeepL Pro API translation a la versión 2.4.1.2 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la verificación de tokens CSRF en formularios y peticiones sensibles.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de registros de acceso y errores, así como la identificación de patrones inusuales en las solicitudes que interactúan con la función wpdeepl_prune_logs.

Alcance afectado

Las versiones afectadas incluyen todas las versiones del plugin DeepL Pro API translation hasta la 2.4.1.1. La vulnerabilidad fue publicada el 25 de octubre de 2023.