ImageRecycle pdf & image compression <= 3.1.13 - Cross-Site Request Forgery to Settings Update in stopOptimizeAll

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin ImageRecycle pdf & image compression, que afecta a las versiones hasta la 3.1.13. Esta vulnerabilidad permite a un atacante realizar cambios no autorizados en la configuración del plugin.

Contexto técnico

La vulnerabilidad CSRF se produce cuando un atacante puede engañar a un usuario autenticado para que envíe una solicitud maliciosa sin su consentimiento. En este caso, el fallo se encuentra en la función 'stopOptimizeAll' del plugin, permitiendo la modificación de ajustes críticos.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría alterar la configuración del plugin, lo que podría resultar en la desactivación de funciones de compresión de imágenes, afectando el rendimiento del sitio web y potencialmente exponiendo datos sensibles.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando un enlace malicioso a un usuario autenticado del sitio. Si el usuario hace clic en el enlace, se ejecuta la solicitud no autorizada que modifica la configuración del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.1.14 o superior. Además, se sugiere implementar medidas de seguridad como la verificación de tokens CSRF en las solicitudes de configuración.

Señales de detección

Las señales de posible explotación incluyen cambios inesperados en la configuración del plugin o la recepción de solicitudes inusuales en las funciones de administración relacionadas con el plugin.

Alcance afectado

Las versiones del plugin ImageRecycle pdf & image compression hasta la 3.1.13 son las que presentan esta vulnerabilidad. Se recomienda revisar todas las instalaciones que utilicen estas versiones.