Notify Odoo <= 1.0.0 - Cross-Site Request Forgery to Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) que puede llevar a un ataque de Cross-Site Scripting (XSS) en el plugin Notify Odoo hasta la versión 1.0.0. Esta vulnerabilidad tiene una severidad media y fue publicada el 3 de enero de 2025.

Contexto técnico

La vulnerabilidad permite que un atacante realice solicitudes maliciosas a través de un usuario autenticado, lo que puede resultar en la ejecución de scripts no autorizados en el contexto del navegador de la víctima. La superficie de ataque se centra en la interacción del usuario con formularios o enlaces dentro de la interfaz del plugin.

Impacto potencial

Si se explota, esta vulnerabilidad puede comprometer la seguridad de los datos del usuario y permitir al atacante ejecutar acciones en nombre de la víctima, lo que podría resultar en la pérdida de datos o en el acceso no autorizado a información sensible.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando enlaces maliciosos a usuarios que tienen acceso al plugin, induciéndolos a hacer clic y ejecutar acciones que comprometen su seguridad.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Notify Odoo a la versión 1.0.1 o superior. Además, se deben implementar medidas de seguridad adicionales como la verificación de tokens CSRF en formularios y la validación de entradas del usuario.

Señales de detección

Señales que pueden indicar un intento de explotación incluyen solicitudes inusuales en los registros de acceso, cambios inesperados en la configuración del plugin o en los datos del usuario sin autorización.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Notify Odoo hasta la 1.0.0. Se debe prestar atención a las instalaciones que utilizan este plugin en sus sitios WordPress.