Freshchat <= 2.3.4 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Freshchat, que afecta a las versiones anteriores a la 2.3.4. Esta vulnerabilidad tiene una severidad media, con un CVSS de 4.3.

Contexto técnico

El fallo se produce debido a la falta de validación adecuada en las solicitudes, lo que permite a un atacante enviar peticiones maliciosas en nombre de un usuario autenticado. Esto puede comprometer la integridad de los datos y la funcionalidad del plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de acciones no autorizadas en la cuenta de un usuario afectado, lo que podría resultar en pérdida de datos o alteraciones en la configuración del plugin, afectando la confianza del usuario y la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad mediante la creación de formularios o enlaces engañosos que, al ser activados por un usuario autenticado, ejecuten acciones no deseadas dentro del plugin.

Mitigación recomendada

Actualizar el plugin Freshchat a la versión 2.3.4 o superior es esencial para mitigar esta vulnerabilidad. Además, se recomienda implementar medidas adicionales de seguridad, como la validación de tokens CSRF en formularios y enlaces.

Señales de detección

Se deben monitorizar las actividades inusuales en las cuentas de usuario, así como cualquier intento de modificación de configuraciones sin el consentimiento explícito del usuario.

Alcance afectado

Las versiones del plugin Freshchat anteriores a la 2.3.4 son las que presentan esta vulnerabilidad. No se dispone de información sobre versiones introducidas.