Benchmark Email Lite <= 4.1 - Cross-Site Request Forgery via page_settings()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Benchmark Email Lite hasta la versión 4.1. Esta falla permite a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

La vulnerabilidad se encuentra en la función page_settings(), donde la falta de validación adecuada de las solicitudes puede ser aprovechada para ejecutar acciones maliciosas. Esto afecta a la superficie de ataque al permitir que un atacante envíe solicitudes engañosas que el servidor puede interpretar como legítimas.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante realice cambios en la configuración del plugin o envíe correos electrónicos no autorizados, lo que podría comprometer la reputación de la marca y la seguridad de los datos de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad mediante el envío de solicitudes manipuladas a través de formularios o enlaces en sitios web maliciosos, engañando a los usuarios para que realicen acciones sin su consentimiento.

Mitigación recomendada

Se recomienda actualizar el plugin Benchmark Email Lite a la versión 4.2 o superior para mitigar esta vulnerabilidad. Además, se debe implementar una validación adecuada de las solicitudes y considerar el uso de tokens CSRF en formularios críticos.

Señales de detección

Señales de riesgo incluyen actividad inusual en las configuraciones del plugin, cambios no autorizados en los ajustes de envío de correos y registros de solicitudes sospechosas en los logs del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Benchmark Email Lite hasta la 4.1. Es crucial revisar las instalaciones que utilicen este plugin para asegurar que estén actualizadas.