CVE-2023-6532

El plugin WP Blogs' Planetarium para WordPress hasta la 1.0 no realiza ninguna comprobación CSRF cuando se actualiza su configuración. Eso permite a un atacante falsificar una solicitud de cambio de configuración: si se atrae a un administrador con sesión iniciada a una página maliciosa mientras está autenticado en WordPress, su navegador envía silenciosamente el cambio bajo la identidad del administrador. El impacto se limita a la configuración del propio plugin, entregado a través de la víctima en lugar de un golpe directo al servidor.

Las realidades atenuantes son dos. Primero, la explotación requiere el paso de ingeniería social de conseguir que un administrador dispare la solicitud, razón por la que esto depende de la interacción del usuario en lugar de ser de disparar y olvidar. Segundo, el alcance es la configuración del plugin, no el control arbitrario del sitio, así que aunque un cambio de configuración falsificado es una cuestión genuina de integridad, es más estrecho que los fallos de plugin de este lote que producen ejecución de código.

Los plugins de WordPress son notoriamente difíciles de inventariar —instalados por sitio, a menudo en sitios que nadie rastrea de forma centralizada—, así que nuestro primer movimiento es simplemente encontrar dónde se ejecuta este, dada su huella diminuta. Lo mantenemos en una prioridad modesta por detrás de los fallos de plugin no autenticados y de subida de archivos, nos apoyamos en la detección basada en referrer de cambios de estado falsificados en torno a wp-admin, y notamos que su impacto limitado solo a la configuración lo mantiene fuera de la lista urgente.