Delete Post Revisions In WordPress <= 4.6 - Cross-Site Request Forgery en Delete Post Revisions ON Single Click (Cross-Site Request Forgery (CSRF))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin 'Delete Post Revisions' para WordPress en versiones hasta la 4.6. Esta vulnerabilidad puede permitir a un atacante realizar acciones no autorizadas en nombre de un usuario sin su consentimiento.

Contexto técnico

El fallo se produce debido a la falta de validación adecuada de las solicitudes en el plugin, lo que permite que un atacante envíe peticiones maliciosas a través de un enlace o formulario engañoso. Esto puede afectar a cualquier usuario con permisos para eliminar revisiones de publicaciones, comprometiendo así la integridad del contenido.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la eliminación no autorizada de revisiones de publicaciones, lo que afectaría la capacidad de los usuarios para restaurar contenido anterior. Esto puede tener consecuencias negativas en la gestión de contenido y la reputación del sitio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando un enlace malicioso a un usuario autenticado, induciéndolo a hacer clic y ejecutar acciones en su cuenta sin su conocimiento.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.6 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la verificación de nonce en las solicitudes y la revisión de permisos de usuario.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en las revisiones de publicaciones o actividad sospechosa en los registros de acceso que indiquen acciones no autorizadas por parte de usuarios legítimos.

Alcance afectado

Las versiones del plugin 'Delete Post Revisions' hasta la 4.6 son vulnerables. Los usuarios que utilicen versiones anteriores deben considerar la actualización inmediata.