Attractive Donations System - Easy Stripe & Paypal donations <= 1.25 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Attractive Donations System, que permite donaciones a través de Stripe y Paypal. Esta vulnerabilidad, con un nivel de severidad medio, puede afectar a las instalaciones que utilicen versiones anteriores a la 1.25.

Contexto técnico

La vulnerabilidad CSRF permite a un atacante enviar solicitudes no autorizadas desde un usuario autenticado a la aplicación web. En este caso, el fallo se encuentra en la forma en que el plugin maneja las solicitudes de donación, lo que podría permitir a un atacante realizar donaciones en nombre de un usuario sin su consentimiento.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en transacciones no autorizadas, lo que podría afectar la confianza de los usuarios en la plataforma y causar pérdidas financieras. Además, podría comprometer la integridad de las donaciones gestionadas a través del plugin.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante la creación de un enlace malicioso que, al ser clicado por un usuario autenticado, envíe una solicitud de donación sin su conocimiento.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Attractive Donations System a la versión 1.25 o superior. Además, se aconseja implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en las solicitudes críticas.

Señales de detección

Señales de posible explotación incluyen transacciones inusuales o no autorizadas en el sistema de donaciones, así como registros de actividad sospechosa en las cuentas de usuario.

Alcance afectado

Las versiones del plugin Attractive Donations System anteriores a la 1.25 son las que se consideran afectadas por esta vulnerabilidad.