Custom Dashboard Page <= 1.0 - Cross-Site Request Forgery (Cross-Site Request Forgery (CSRF))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Custom Dashboard Page, que afecta a versiones hasta la 1.0. Esta vulnerabilidad tiene una severidad media, con un CVSS de 4.3, y fue publicada el 11 de marzo de 2025.

Contexto técnico

La vulnerabilidad CSRF permite a un atacante enviar solicitudes maliciosas a través de la sesión del usuario autenticado, lo que puede llevar a la ejecución de acciones no autorizadas en el contexto de la aplicación. La superficie de ataque se presenta cuando los usuarios interactúan con formularios o enlaces que no están adecuadamente protegidos contra este tipo de ataques.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante realizar acciones en nombre de un usuario legítimo, lo que podría comprometer la integridad de los datos y la funcionalidad del sitio. Esto podría resultar en pérdidas económicas y reputacionales para la organización afectada.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad engañando a los usuarios para que hagan clic en enlaces maliciosos o envíen formularios manipulados, lo que les permite ejecutar acciones no deseadas en el sistema.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Custom Dashboard Page a la versión 1.0 o superior. Además, se deben implementar medidas de seguridad adicionales, como el uso de tokens CSRF en formularios y la validación de las solicitudes en el servidor.

Señales de detección

Las señales que pueden indicar un posible intento de explotación incluyen solicitudes inusuales en el servidor que no coinciden con las acciones esperadas de los usuarios, así como la monitorización de cambios no autorizados en la configuración del plugin.

Alcance afectado

Las versiones del plugin Custom Dashboard Page hasta la 1.0 son las afectadas por esta vulnerabilidad. No se ha especificado una versión en la que se introdujo el fallo.