Vulnerabilidad en Plugin Contact Form y en Calls To Action by vcita (CVE-2023-2303)
Severidad:
MEDIA
Tipo:
CWE-352
Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)
Fecha de publicación:
03/06/2023
Última modificación:
09/06/2023
Descripción
El plugin Contact Form y el Calls To Action by vcita para WordPress es vulnerable a Cross-Site Request Forgery en versiones hasta la 2.6.4 inclusive. Esto se debe a la falta de validación nonce en el archivo "vcita-callback.php". Esto hace posible que los atacantes no autenticados modifiquen la configuración del plugin e inyecten JavaScript malicioso a través de una solicitud falsificada concedida y puedan engañar a un administrador del sitio para realizar una acción como hacer clic en un enlace.
Impacto
Puntuación base 3.x
6.10
Severidad 3.x
MEDIA
Productos y versiones vulnerables
- cpe:2.3:a:vcita:contact_form_and_calls_to_action_by_vcita:*:*:*:*:*:wordpress:*:*
Para consultar la lista completa de productos y versiones ver esta página
Referencias a soluciones, herramientas e información
- https://plugins.trac.wordpress.org/browser/lead-capturing-call-to-actions-by-vcita/trunk/vcita-callback.php (Origen:MISC)
- https://www.wordfence.com/threat-intel/vulnerabilities/id/2345c972-9fd4-4709-8bde-315ab54f60e2?source=cve (Origen:MISC)
- https://blog.jonh.eu/blog/security-vulnerabilities-in-wordpress-plugins-by-vcita (Origen:MISC)