WP MultiTasking <= 0.1.12 - Cross-Site Request Forgery to Permalink Suffix Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin WP MultiTasking hasta la versión 0.1.12, que permite la modificación no autorizada de la configuración de sufijos de enlaces permanentes. Esta falla tiene una severidad media, con un CVSS de 4.3.

Contexto técnico

La vulnerabilidad se origina en la falta de validación de las solicitudes que modifican los sufijos de los enlaces permanentes, lo que permite a un atacante enviar peticiones maliciosas que pueden ser ejecutadas en el contexto de un usuario autenticado.

Impacto potencial

Si se explota, esta vulnerabilidad podría permitir a un atacante cambiar la configuración de los enlaces permanentes, lo que podría llevar a redirecciones no deseadas o a la manipulación del contenido visible para los usuarios, afectando la integridad del sitio web.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando un enlace malicioso a un usuario autenticado que, al hacer clic, ejecutaría la solicitud CSRF sin su consentimiento.

Mitigación recomendada

Actualizar el plugin WP MultiTasking a la versión 0.1.12 o superior para cerrar la vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales como la verificación de nonce en las solicitudes críticas.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración de los enlaces permanentes o registros de actividad inusual en el panel de administración.

Alcance afectado

Las versiones del plugin WP MultiTasking anteriores a la 0.1.12 son las que presentan esta vulnerabilidad.