Quiz and Survey Master (QSM) <= 10.2.2 - Cross-Site Request Forgery to Template Creation

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Quiz and Survey Master (QSM) en versiones hasta la 10.2.2. Esta vulnerabilidad puede permitir a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

El fallo se produce debido a la falta de validación adecuada de las solicitudes enviadas al servidor, lo que permite a un atacante enviar peticiones maliciosas a través de formularios o enlaces engañosos. La superficie de ataque se centra en las funcionalidades de creación de plantillas dentro del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de las encuestas y cuestionarios gestionados por el plugin, permitiendo cambios no autorizados que podrían afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad enviando un enlace malicioso a un usuario autenticado, induciéndolo a hacer clic y ejecutar acciones no deseadas en el sistema.

Mitigación recomendada

Actualizar el plugin Quiz and Survey Master a la versión 10.2.3 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en formularios y peticiones sensibles.

Señales de detección

Monitorear registros de actividad inusuales en el plugin y alertas sobre cambios en las configuraciones de plantillas sin autorización. Revisar el tráfico de red en busca de solicitudes sospechosas.

Alcance afectado

Las versiones del plugin Quiz and Survey Master hasta la 10.2.2 son vulnerables. Las instalaciones que no han actualizado a la versión 10.2.3 o superior están en riesgo.