Invelity MyGLS connect <= 1.1.1 - Cross-Site Request Forgery (Cross-Site Request Forgery (CSRF))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Invelity MyGLS Connect, que afecta a las versiones hasta la 1.1.1. Esta vulnerabilidad tiene un nivel de severidad medio, con un CVSS de 4.3.

Contexto técnico

La vulnerabilidad CSRF permite a un atacante enviar solicitudes no autorizadas desde el navegador de un usuario autenticado, aprovechando la confianza que el sitio tiene en el usuario. Esto puede comprometer la integridad de las acciones realizadas en el plugin Invelity MyGLS Connect.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar acciones en nombre de un usuario legítimo, lo que podría resultar en cambios no autorizados en la configuración del plugin o en la exposición de datos sensibles.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de un enlace o un formulario malicioso que, al ser activado por un usuario autenticado, desencadena acciones no deseadas en el plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Invelity MyGLS Connect a la versión 1.1.1 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en formularios y solicitudes.

Señales de detección

Las señales de posible explotación incluyen cambios inesperados en la configuración del plugin, actividades inusuales en los registros de acceso y notificaciones de acciones realizadas sin la intervención del usuario.

Alcance afectado

Las versiones del plugin Invelity MyGLS Connect hasta la 1.1.1 están afectadas por esta vulnerabilidad, lo que incluye todas las instalaciones que no han sido actualizadas a la versión corregida.