Generate Child Theme <= 2.0 - Cross-Site Request Forgery via process_create_form()

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Generate Child Theme en versiones hasta la 2.0. Esta falla permite a un atacante ejecutar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

La vulnerabilidad se encuentra en la función process_create_form() del plugin, que no valida adecuadamente las solicitudes entrantes, permitiendo que un atacante envíe peticiones maliciosas a través de un sitio web de confianza.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que podría permitir a un atacante realizar acciones no autorizadas, como crear o modificar temas en la instalación de WordPress, comprometiendo así la integridad del sitio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de formularios maliciosos que engañan a los usuarios para que los envíen mientras están autenticados en el sitio afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.0.1 o superior, así como implementar medidas de seguridad adicionales como la verificación de nonce en las solicitudes.

Señales de detección

Señales de riesgo incluyen actividades inusuales en la creación o modificación de temas, así como la aparición de solicitudes HTTP sospechosas que no corresponden a acciones legítimas.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Generate Child Theme hasta la 2.0, siendo la 2.0.1 la primera en corregir esta vulnerabilidad.