User Registration & Membership PRO – Custom Registration Form, Login Form, and User Profile <= 5.1.3 - Cross-Site Request Forgery to User Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin User Registration & Membership PRO, que permite la eliminación de usuarios en versiones anteriores a la 5.2.0. Este fallo tiene una severidad media, con un CVSS de 4.3.

Contexto técnico

La vulnerabilidad CSRF permite a un atacante realizar acciones no autorizadas en nombre de un usuario autenticado. En este caso, un atacante podría enviar una solicitud maliciosa para eliminar usuarios sin su consentimiento, aprovechando la falta de validación adecuada en las solicitudes.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la eliminación no intencionada de cuentas de usuario, lo que afectaría la integridad de la base de datos de usuarios y podría causar una pérdida de confianza por parte de los usuarios en la plataforma.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando enlaces maliciosos a usuarios autenticados, induciéndolos a hacer clic y, por lo tanto, ejecutar acciones no deseadas en el sistema.

Mitigación recomendada

Actualizar el plugin User Registration & Membership PRO a la versión 5.2.0 o superior para mitigar esta vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en formularios críticos.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la base de datos de usuarios, como eliminaciones masivas o inusuales de cuentas, así como la aparición de solicitudes HTTP sospechosas en los registros del servidor.

Alcance afectado

Las versiones del plugin User Registration & Membership PRO anteriores a la 5.2.0 están afectadas por esta vulnerabilidad.