Chative Live chat and Chatbot <= 1.1 - Cross-Site Request Forgery via add_chative_widget_action Function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Chative Live Chat and Chatbot en versiones hasta la 1.1. Esta vulnerabilidad puede permitir a un atacante realizar acciones no autorizadas en nombre de un usuario autenticado.

Contexto técnico

La vulnerabilidad se encuentra en la función 'add_chative_widget_action', que no implementa correctamente medidas de protección contra CSRF. Esto permite que un atacante envíe solicitudes maliciosas a la aplicación web, engañando al usuario para que realice acciones indeseadas sin su consentimiento.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede incluir la modificación de configuraciones del plugin, el envío de mensajes no deseados o la manipulación de datos del usuario, lo que podría afectar la confianza del cliente y la integridad de la información en el sitio web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de formularios maliciosos o enlaces que, al ser clicados por un usuario autenticado, ejecutan la función vulnerable sin su conocimiento.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.2 o superior. Además, implementar medidas de seguridad adicionales como la verificación de tokens CSRF en todas las solicitudes que modifiquen el estado del servidor.

Señales de detección

Señales de riesgo pueden incluir actividad inusual en los registros de acceso, cambios inesperados en la configuración del plugin o en los datos de los usuarios, así como la presencia de solicitudes no autorizadas en los logs del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Chative Live Chat and Chatbot hasta la 1.1. Las instalaciones que no han sido actualizadas a la versión 1.2 están en riesgo.