WordPress WP-CalDav2ICS plugin <= 1.3.4 - Vulnerabilidade de Cross Site Request Forgery (CSRF)

A exploração bem-sucedida desta vulnerabilidade CSRF com XSS armazenado permite que um atacante injete scripts maliciosos no site WordPress. Esses scripts podem ser executados no navegador de outros usuários, permitindo que o atacante roube cookies de sessão, redirecione usuários para sites maliciosos, ou modifique o conteúdo do site. O impacto pode variar dependendo da sensibilidade dos dados armazenados no site e do nível de acesso dos usuários afetados. Um atacante poderia, por exemplo, modificar o calendário exibido, redirecionando usuários para páginas de phishing ou injetando código malicioso que rouba credenciais.

Websites using the WP-CalDav2ICS plugin, particularly those running older, unpatched versions (0.0.0–1.3.4), are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "wp-caldav2ics" /var/www/html/
wp plugin list | grep WP-CalDav2ICS

• generic web:

curl -I https://example.com/wp-content/plugins/wp-caldav2ics/ | grep -i 'wp-caldav2ics'

1. 2025-12-30Disclosure

   disclosure

1. Reservado2025-09-09
2. Publicada2025-12-30
3. Modificada2026-04-28
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin WP-CalDav2ICS para a versão corrigida, assim que estiver disponível. Enquanto isso, considere implementar medidas de proteção CSRF adicionais, como a validação de tokens CSRF em todos os formulários do site. Além disso, utilize um Web Application Firewall (WAF) com regras para detectar e bloquear solicitações CSRF. Monitore os logs do WordPress em busca de atividades suspeitas, como solicitações POST inesperadas ou modificações não autorizadas no conteúdo do site. Implementar políticas de segurança de conteúdo (CSP) pode ajudar a mitigar o impacto de XSS.

Instalações ativas

200

Avaliação do plugin