En este artículo se abordará una vulnerabilidad de acceso indebido en el plugin de WordPress ‘Views for WPForms – Display & Edit WPForms Entries on your site frontend’ en todas las versiones hasta la 3.2.2, identificada con el ID CVE-2024-0374. Esta vulnerabilidad permite a atacantes no autenticados crear vistas a través de una solicitud falsificada si pueden engañar a un administrador del sitio para que realice una acción, como hacer clic en un enlace.
La vulnerabilidad se encuentra en la función ‘create_view’ del plugin Views for WPForms. Esta función carece de validación de nonce o presenta una validación incorrecta, lo que permite realizar ataques de Cross-Site Request Forgery (CSRF). Los atacantes pueden aprovechar esto para crear vistas en el sitio web comprometido.
Para subsanar este problema, se recomienda a los usuarios actualizar el plugin a la última versión disponible. Además, es fundamental mantener todos los plugins y temas actualizados, así como tener en cuenta las siguientes medidas de seguridad adicionales:
1. Evitar hacer clic en enlaces sospechosos o provenientes de fuentes no confiables.
2. Implementar políticas de acceso adecuadas para los usuarios del sitio, asegurándose de que solo los administradores tengan privilegios para realizar acciones críticas.
3. Utilizar plugins de seguridad que puedan ayudar a detectar y prevenir ataques CSRF y otros tipos de vulnerabilidades comunes.
4. Monitorear regularmente las actualizaciones de seguridad de los plugins utilizados y aplicarlas de inmediato.
5. Realizar copias de seguridad periódicas del sitio web y almacenarlas de forma segura fuera del servidor.
La vulnerabilidad de Cross-Site Request Forgery en el plugin Views for WPForms es un riesgo significativo para la seguridad de los sitios web de WordPress. Los usuarios deben tomar las medidas necesarias para actualizar sus plugins, implementar buenas prácticas de seguridad y estar alerta ante posibles amenazas. Mantener el software actualizado y seguir las mejores prácticas de seguridad puede ayudar a mitigar los riesgos y asegurar la integridad de los sitios web.
