WP Compress – Image Optimizer [All-In-One] <= 6.10.35 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin WP Compress – Image Optimizer, que afecta a versiones hasta la 6.10.35. Esta vulnerabilidad puede comprometer la seguridad de las instalaciones que utilicen este plugin.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar solicitudes maliciosas desde un sitio externo. Esto puede llevar a la ejecución de acciones no autorizadas en nombre del usuario afectado, afectando la integridad de la aplicación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante realizar acciones no deseadas en el contexto de un usuario autenticado. Esto podría resultar en la alteración de configuraciones del plugin o incluso en la manipulación de contenido, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la creación de un enlace o formulario malicioso que, al ser activado por un usuario autenticado, ejecuta una acción en el plugin sin su consentimiento.

Mitigación recomendada

Se recomienda actualizar el plugin WP Compress – Image Optimizer a la versión 6.11.01 o superior para mitigar esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de tokens CSRF en formularios y enlaces.

Señales de detección

Señales de riesgo incluyen actividades inusuales en el registro de acciones del plugin, así como cambios inesperados en la configuración o contenido gestionado por el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.11.01 del plugin WP Compress – Image Optimizer.