Taxonomy filter <= 2.2.9 - Cross-Site Request Forgery via taxonomy_filter_save_main_settings()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Taxonomy Filter hasta la versión 2.2.9. Esta falla permite a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

La vulnerabilidad se encuentra en la función taxonomy_filter_save_main_settings(), que no valida adecuadamente las solicitudes, permitiendo que un atacante pueda enviar peticiones maliciosas que afecten la configuración del plugin.

Impacto potencial

El impacto potencial incluye la modificación no autorizada de configuraciones del plugin, lo que podría comprometer la integridad del sitio y permitir a un atacante ejecutar acciones en nombre de los usuarios, afectando así la confianza y la seguridad del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes engañosas a usuarios autenticados que tengan permisos para modificar la configuración del plugin, sin necesidad de acceso directo al sistema.

Mitigación recomendada

Actualizar el plugin Taxonomy Filter a la versión 2.2.10 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de tokens CSRF en formularios.

Señales de detección

Señales de riesgo incluyen cambios no autorizados en la configuración del plugin y registros de actividades sospechosas que impliquen modificaciones por parte de usuarios que no deberían tener acceso.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.2.10 del plugin Taxonomy Filter. Es crucial verificar las instalaciones que utilizan este plugin.