what3words Address Field <= 4.0.15 - Cross-Site Request Forgery to Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) que puede llevar a un ataque de Cross-Site Scripting (XSS) en el plugin what3words Address Field hasta la versión 4.0.15. Esta vulnerabilidad tiene una severidad media y fue publicada el 14 de febrero de 2025.

Contexto técnico

La vulnerabilidad permite a un atacante realizar solicitudes no autorizadas en nombre de un usuario autenticado, lo que puede resultar en la ejecución de scripts maliciosos en el contexto del navegador de la víctima. Esto ocurre debido a la falta de validación adecuada en las solicitudes que modifican datos.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible, como credenciales de usuario, o realice acciones no autorizadas en el sitio web, lo que puede comprometer la integridad y la confianza del mismo.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la creación de un enlace malicioso que, al ser clicado por un usuario autenticado, provoca la ejecución de la solicitud CSRF, permitiendo al atacante inyectar código malicioso.

Mitigación recomendada

Actualizar el plugin what3words Address Field a la versión 4.0.16 o posterior. Además, se recomienda implementar medidas de seguridad adicionales como la verificación de tokens CSRF en formularios y solicitudes críticas.

Señales de detección

Señales de riesgo incluyen actividad inusual en los registros de acceso, como solicitudes que no corresponden a acciones legítimas de los usuarios, así como la aparición de scripts no autorizados en las páginas web.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.0.16 del plugin what3words Address Field.