Download Monitor <= 5.1.10 - Cross-Site Request Forgery to Download Path Deletion and Disabling

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Download Monitor, que afecta a versiones hasta la 5.1.10. Esta falla puede permitir la eliminación de rutas de descarga sin la autorización adecuada, lo que puede comprometer la integridad de los archivos y la operación del sitio.

Contexto técnico

La vulnerabilidad se presenta en el plugin Download Monitor, donde un atacante puede enviar solicitudes maliciosas que resulten en la eliminación de rutas de descarga. La superficie de ataque se basa en la interacción del usuario con formularios no protegidos contra CSRF.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante eliminar archivos importantes del servidor, afectando la disponibilidad de recursos y potencialmente dañando la reputación del negocio. La severidad se clasifica como media, con un CVSS de 5.4.

Vector de explotación

La explotación suele llevarse a cabo mediante el envío de enlaces manipulados a usuarios autenticados, que al hacer clic, ejecutan acciones no deseadas en el sistema.

Mitigación recomendada

Actualizar el plugin Download Monitor a la versión 5.1.11 o posterior para corregir la vulnerabilidad. Implementar medidas de seguridad adicionales, como la verificación de nonce en formularios críticos. Revisar y ajustar los permisos de usuario para limitar la capacidad de eliminación de rutas de descarga.

Señales de detección

Señales de riesgo incluyen registros de eliminación de rutas de descarga no autorizadas y actividad inusual en los logs de acceso que podría indicar intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.1.11 del plugin Download Monitor. No se han confirmado otros escenarios o plugins relacionados.