School Management System – SakolaWP <= 1.0.8 - Cross-Site Request Forgery to Exam Setting Manipulation en Sakolawp Lite (Cross-Site Request Forgery (CSRF))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin SakolaWP para la gestión escolar, que afecta a las versiones hasta la 1.0.8. Esta vulnerabilidad permite manipular la configuración de exámenes, lo que podría comprometer la integridad del sistema educativo.

Contexto técnico

El fallo se produce debido a la falta de validación adecuada en las solicitudes que modifican la configuración de los exámenes. Esto permite que un atacante envíe peticiones maliciosas en nombre de un usuario autenticado, aprovechando la confianza que el sistema tiene en el navegador del usuario.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante cambie configuraciones críticas de exámenes, lo que podría llevar a la alteración de resultados académicos y a la pérdida de confianza en el sistema. Esto puede tener repercusiones legales y reputacionales para las instituciones educativas que utilicen este plugin.

Vector de explotación

La explotación generalmente se lleva a cabo mediante la creación de formularios maliciosos o enlaces que, al ser activados por un usuario autenticado, envían solicitudes no autorizadas al sistema, permitiendo al atacante realizar cambios sin su consentimiento.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.0.8 o superior. Además, se debe implementar un control de acceso más riguroso y utilizar tokens CSRF para validar las solicitudes que modifican la configuración del sistema.

Señales de detección

Las señales de posible explotación incluyen cambios inusuales en la configuración de exámenes sin intervención del personal autorizado, así como un aumento en las peticiones HTTP sospechosas dirigidas a las funciones de configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.8 del plugin SakolaWP, que se utiliza para la gestión escolar en diversas instituciones educativas.