Availability Calendar <= 1.2.6 - Cross-Site Request Forgery via add_availability_calendar_create_admin_page()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Availability Calendar hasta la versión 1.2.6. Esta falla permite a un atacante ejecutar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

El fallo se origina en la función add_availability_calendar_create_admin_page(), que no valida adecuadamente las solicitudes entrantes. Esto permite que un atacante envíe peticiones maliciosas que pueden ser ejecutadas por un usuario autenticado sin su consentimiento.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de la aplicación, permitiendo a un atacante realizar cambios no autorizados en la configuración del plugin, lo que podría afectar la disponibilidad del servicio y la confianza de los usuarios.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante el envío de enlaces manipulados o formularios a usuarios autenticados, quienes, al interactuar con estos elementos, ejecutan acciones no deseadas sin darse cuenta.

Mitigación recomendada

Actualizar el plugin Availability Calendar a la versión 1.2.6 o superior. Además, se recomienda implementar medidas de seguridad adicionales como la verificación de nonce en las solicitudes y la revisión de permisos de usuario.

Señales de detección

Se deben monitorizar registros de actividad inusuales, especialmente en las acciones relacionadas con la configuración del plugin, así como cualquier intento de acceso a la función add_availability_calendar_create_admin_page() desde fuentes no autorizadas.

Alcance afectado

Las versiones del plugin Availability Calendar hasta la 1.2.6 están afectadas. Es crucial que los administradores de WordPress verifiquen sus instalaciones para asegurar que están utilizando una versión segura.