No Disposable Email <= 2.5.1 - Cross-Site Request Forgery to Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) que puede llevar a un ataque de Cross-Site Scripting (XSS) en el plugin No Disposable Email hasta la versión 2.5.1. Esta vulnerabilidad tiene una severidad media y un CVSS de 6.1.

Contexto técnico

La vulnerabilidad permite a un atacante enviar solicitudes maliciosas que pueden ser ejecutadas en el contexto de un usuario autenticado, facilitando así la inyección de scripts maliciosos en el navegador de la víctima. Esto se debe a la falta de validación adecuada en las solicitudes que modifican el estado del plugin.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible, como credenciales de usuario, o realice acciones no autorizadas en nombre de la víctima, lo que podría comprometer la integridad de la instalación de WordPress y afectar la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando un enlace malicioso a un usuario autenticado, que al hacer clic en él, ejecutará acciones no deseadas dentro del plugin, permitiendo la inyección de código malicioso.

Mitigación recomendada

Se recomienda actualizar el plugin No Disposable Email a la versión 2.5.1 o superior. Además, implementar medidas de seguridad adicionales como la verificación de tokens CSRF en formularios y solicitudes.

Señales de detección

Señales de riesgo incluyen actividad inusual en las solicitudes de cambio de configuración del plugin, así como la presencia de scripts no autorizados en la interfaz de usuario del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.5.1 del plugin No Disposable Email.