Plugin Central <= 2.5.1 - Cross-Site Request Forgery to Arbitrary File Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Plugin Central, que permite la eliminación arbitraria de archivos. Esta vulnerabilidad tiene una severidad alta, con un CVSS de 8.1.

Contexto técnico

La vulnerabilidad CSRF permite a un atacante enviar solicitudes no autorizadas en nombre de un usuario autenticado. En este caso, puede ser utilizada para eliminar archivos del servidor, comprometiendo así la integridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la pérdida de datos críticos y a la interrupción de servicios. Además, puede afectar la confianza de los usuarios y la reputación de la organización, resultando en pérdidas económicas.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante la creación de enlaces maliciosos que, al ser clicados por un usuario autenticado, ejecutan la eliminación de archivos sin su consentimiento.

Mitigación recomendada

Se recomienda actualizar el plugin Plugin Central a la versión 2.5.1 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de tokens CSRF y la revisión de permisos de usuario.

Señales de detección

Señales de explotación pueden incluir registros de eliminación de archivos no autorizados y actividad sospechosa en las sesiones de usuario autenticado.

Alcance afectado

Las versiones del plugin Plugin Central anteriores a la 2.5.1 son las afectadas por esta vulnerabilidad.