Divi Torque Lite <= 4.2.3 - Cross-Site Request Forgery to Arbitrary Plugin Installation via 'install_plugin' REST Endpoint en Addons FOR Divi (Cross-Site Request Forgery (CSRF)) - version 4.3.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo CSRF en el plugin Divi Torque Lite, que permite la instalación arbitraria de plugins a través del endpoint REST 'install_plugin'. Esta falla, con una severidad alta (CVSS 8.8), puede comprometer la integridad del sitio web y permitir la ejecución de código malicioso.

Contexto técnico

El fallo se origina en el endpoint REST 'install_plugin', que no valida adecuadamente las solicitudes, permitiendo que un atacante ejecute acciones no autorizadas. La superficie de ataque se presenta a través de solicitudes HTTP maliciosas que pueden ser enviadas a usuarios autenticados.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la instalación de plugins maliciosos, comprometiendo la seguridad del sitio web y potencialmente afectando la confidencialidad y disponibilidad de los datos. Esto puede llevar a pérdidas financieras y daños a la reputación de la organización.

Vector de explotación

Los atacantes pueden enviar solicitudes maliciosas a usuarios autenticados para ejecutar el endpoint 'install_plugin', desencadenando la instalación de plugins no autorizados.

Mitigación recomendada

Actualizar el plugin Divi Torque Lite a la versión 4.3.0 o superior. Revisar y restringir el acceso a los endpoints REST según sea necesario. Implementar medidas de seguridad adicionales, como la validación de nonce en las solicitudes. Realizar auditorías de seguridad periódicas en el sitio web para detectar vulnerabilidades.

Señales de detección

Monitorear los logs de acceso para detectar solicitudes inusuales al endpoint 'install_plugin' y verificar la presencia de plugins no reconocidos en el sistema.

Alcance afectado

Las versiones afectadas son Divi Torque Lite hasta la 4.2.3. Las instalaciones que hayan actualizado a la versión 4.3.0 o superior no están afectadas.