MPWizard – Create Mercado Pago Payment Links <= 1.2.1 - Cross-Site Request Forgery to Arbitrary Post Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin MPWizard, que permite la eliminación arbitraria de publicaciones en versiones hasta la 1.2.1. Esta vulnerabilidad tiene una severidad media, con un CVSS de 4.3.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones maliciosas que pueden resultar en la eliminación no autorizada de publicaciones. El ataque se puede llevar a cabo a través de un enlace engañoso que aproveche la sesión activa del usuario.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del contenido del sitio, permitiendo a un atacante eliminar publicaciones críticas, lo que podría afectar la reputación y funcionalidad del negocio. Además, puede llevar a la pérdida de datos importantes.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando un enlace malicioso a un usuario autenticado, que al hacer clic en él, ejecuta la acción de eliminación sin su consentimiento.

Mitigación recomendada

Actualizar el plugin MPWizard a la versión 1.2.1 o superior. Además, implementar medidas de seguridad adicionales como la verificación de nonce en las solicitudes y el uso de cabeceras HTTP para proteger contra CSRF.

Señales de detección

Señales de riesgo incluyen la presencia de eliminaciones de publicaciones no autorizadas en los registros de actividad del sitio y la aparición de peticiones inusuales en las herramientas de monitoreo.

Alcance afectado

Todas las instalaciones del plugin MPWizard en versiones hasta la 1.2.1 son susceptibles a esta vulnerabilidad.