Terms of Use <= 2.0 - Cross-Site Request Forgery to Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) que puede llevar a la ejecución de scripts en el contexto del usuario afectado en el plugin 'Terms of Use' hasta la versión 2.0. Esta vulnerabilidad tiene un nivel de severidad medio con un CVSS de 6.1.

Contexto técnico

La vulnerabilidad permite a un atacante enviar solicitudes maliciosas que pueden resultar en la ejecución de scripts no autorizados en el navegador de la víctima. Esto se produce debido a la falta de validación adecuada en las solicitudes que modifican datos, lo que facilita el ataque CSRF.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la manipulación de datos del usuario y la posibilidad de que un atacante ejecute código malicioso en el navegador de un usuario legítimo, comprometiendo así la seguridad y la integridad de la información en el sitio web.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la creación de un enlace o un formulario que, al ser activado por la víctima, envía una solicitud no autorizada al servidor, aprovechando la sesión activa del usuario.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Terms of Use' a la versión 2.0 o superior. Además, se debe implementar la verificación de tokens CSRF en todas las solicitudes que modifican datos y utilizar medidas de seguridad adicionales como Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen actividad inusual en las solicitudes POST que afectan a los datos del usuario, así como la aparición de scripts no autorizados en las páginas del sitio web.

Alcance afectado

Las versiones del plugin 'Terms of Use' anteriores a la 2.0 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y aplicar la actualización correspondiente.