Vulnerabilidad en FlatPress CMS (CVE-2024-9847)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

20/03/2025

Última modificación:

24/06/2025

Descripción

La última versión de FlatPress CMS es vulnerable a ataques de Cross-Site Request Forgery (CSRF), que permiten a un atacante habilitar o deshabilitar complementos en nombre de un usuario víctima. El atacante puede manipular un enlace o script malicioso que, al hacer clic en él un usuario autenticado, enviará una solicitud al servidor de FlatPress CMS para realizar la acción deseada en nombre del usuario víctima. Dado que la solicitud está autenticada, el servidor la procesará como si la hubiera iniciado el usuario legítimo, lo que permite al atacante realizar acciones no autorizadas. Esta vulnerabilidad está corregida en la versión 1.4.dev.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.00 ALTA
Vector: CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto