Favicon Generator <= 1.5 - Cross-Site Request Forgery para Eliminación Arbitraria de Archivos

Un atacante podría explotar esta vulnerabilidad para borrar archivos críticos del servidor WordPress, incluyendo archivos de configuración, archivos del núcleo de WordPress o incluso archivos de otros plugins. Esto podría resultar en la denegación de servicio, la pérdida de datos o incluso la toma de control del servidor. La naturaleza de CSRF significa que el atacante no necesita credenciales para explotar la vulnerabilidad, solo la capacidad de engañar a un administrador para que visite una URL maliciosa. La eliminación de archivos críticos podría comprometer la integridad y disponibilidad del sitio web.

WordPress sites using the Favicon Generator plugin, particularly those with administrative users who may be susceptible to social engineering attacks. Shared hosting environments are at increased risk, as a compromised site can potentially impact other users on the same server.

• wordpress / composer / npm:

grep -r "output_sub_admin_page_0" /var/www/html/wp-content/plugins/favicon-generator/

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin.php?page=favicon-generator-settings&action=delete_file  # Check for lack of CSRF protection

1. 2024-08-24Disclosure

   disclosure

1. Reservado2024-08-06
2. Publicada2024-08-24
3. Modificada2024-08-26
4. EPSS actualizado2026-04-02

La mitigación principal es desinstalar y eliminar el plugin Favicon Generator, ya que el autor ha cerrado el plugin. Si necesita funcionalidad de generación de favicon, busque una alternativa de un desarrollador de confianza. Como medida temporal, se puede implementar una regla en un Web Application Firewall (WAF) para bloquear solicitudes CSRF dirigidas a la función outputsubadminpage0. Además, asegúrese de que todos los administradores del sitio estén conscientes de los riesgos de CSRF y eviten hacer clic en enlaces sospechosos.