AI Engine <= 3.6.5 - Cross-Site Request Forgery to Privilege Escalation via REQUEST_URI Substring Match (Cross-Site Request Forgery (CSRF)) - version 3.6.6

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo CSRF en el plugin AI Engine, que permite la escalación de privilegios a través de una coincidencia de subcadena en REQUEST_URI. Esta falla, clasificada con una severidad alta (CVSS 8.8), puede comprometer la seguridad operativa de los sitios afectados.

Contexto técnico

La vulnerabilidad se origina en el plugin AI Engine, versiones hasta 3.6.5, donde un atacante puede enviar solicitudes maliciosas que explotan la falta de validación adecuada de las peticiones. Esto se realiza a través de coincidencias en el REQUEST_URI, permitiendo a un usuario no autenticado ejecutar acciones privilegiadas.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante escalar privilegios y potencialmente tomar control de funciones administrativas del plugin. Esto puede resultar en la manipulación de datos o la alteración de la configuración del sitio, afectando la integridad y disponibilidad del mismo.

Vector de explotación

La explotación se lleva a cabo mediante el envío de solicitudes HTTP manipuladas a la aplicación, que son ejecutadas sin la debida autenticación del usuario, aprovechando la falta de protección CSRF.

Mitigación recomendada

Actualizar el plugin AI Engine a la versión 3.6.6 o superior. Implementar medidas de seguridad adicionales como tokens CSRF en formularios. Revisar y restringir los permisos de usuario en el plugin para minimizar el riesgo.

Señales de detección

Señales que pueden indicar explotación incluyen registros de solicitudes HTTP inusuales que coincidan con patrones de REQUEST_URI, así como cambios inesperados en la configuración del plugin o en los permisos de usuario.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.6.6 del plugin AI Engine. No se han confirmado otros escenarios fuera de este alcance.