Newsletter, SMTP, Email marketing and Subscribe forms by Brevo (formely Sendinblue) <= 3.1.87 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin 'Newsletter, SMTP, Email marketing and Subscribe forms by Brevo' en versiones hasta la 3.1.87. Esta vulnerabilidad podría permitir a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite que un atacante envíe peticiones maliciosas que el servidor aceptaría como válidas. La superficie de ataque está relacionada con las interacciones del usuario que no requieren autenticación adicional.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de los datos del usuario y permitir la ejecución de acciones no deseadas, afectando la confianza del cliente y la reputación del negocio. El impacto es considerado medio, con un CVSS de 4.3.

Vector de explotación

Generalmente, los atacantes pueden aprovechar esta vulnerabilidad mediante el envío de enlaces maliciosos a usuarios autenticados, induciéndolos a hacer clic y ejecutar acciones sin su consentimiento.

Mitigación recomendada

Actualizar el plugin a la versión 3.1.88 o superior, donde se ha corregido la vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en formularios sensibles.

Señales de detección

Señales de riesgo incluyen actividad inusual en las cuentas de usuario, como cambios no autorizados en configuraciones o envíos de correos electrónicos que no fueron iniciados por los usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.1.88 del plugin 'Newsletter, SMTP, Email marketing and Subscribe forms by Brevo'.