GoodMeet <= 1.1.8 - Cross-Site Request Forgery to Google Meet Credential Reset via 'goodmeet_reset_google_meet_credential' (Cross-Site Request Forgery (CSRF)) - version 1.1.9

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo CSRF en el plugin GoodMeet, que permite el restablecimiento de credenciales de Google Meet. Esta falla, catalogada con una severidad media, puede comprometer la seguridad de las cuentas de los usuarios afectados.

Contexto técnico

La vulnerabilidad se presenta en la función 'goodmeet_reset_google_meet_credential', lo que permite a un atacante realizar solicitudes no autorizadas que pueden modificar las credenciales de Google Meet de un usuario. La superficie de ataque se centra en la interacción del usuario con formularios web maliciosos.

Impacto potencial

El impacto de esta vulnerabilidad puede resultar en el acceso no autorizado a cuentas de Google Meet, lo que podría llevar a la divulgación de información sensible y a la interrupción de servicios. Esto puede afectar la confianza de los usuarios y la integridad de las operaciones comerciales.

Vector de explotación

Un atacante podría explotar esta vulnerabilidad mediante la creación de un enlace malicioso que, al ser visitado por un usuario autenticado, desencadene la solicitud de restablecimiento de credenciales sin su consentimiento.

Mitigación recomendada

Actualizar el plugin GoodMeet a la versión 1.1.9 o superior para cerrar la vulnerabilidad. Revisar los permisos de acceso y las configuraciones de seguridad del plugin. Implementar medidas de seguridad adicionales como la validación de tokens CSRF en formularios.

Señales de detección

Se deben monitorizar los registros de acceso en busca de solicitudes inusuales a la función 'goodmeet_reset_google_meet_credential' que no provengan de fuentes legítimas.

Alcance afectado

La vulnerabilidad afecta a todas las versiones de GoodMeet hasta la 1.1.8. No se han reportado casos de explotación confirmados hasta la fecha.