Bien, para decirlo rápidamente y sin andarme por las ramas se podría explicar como que se trata de una «Evasión de la autenticación en la interfaz de administración» o lo que es lo mismo y cito la definición exacta que le dio el fabricante: «Authentication bypass on administrative interface», y que posteriormente pudimos asimilar de mejor manera gracias al fantástico trabajo que realizaron los expertos de Horizon3.ai, que se volcaron efusivamente en el análisis de esta vulnerabilidad, la identificación de indicadores de compromiso (IOC), investigación de vectores de explotación (lo que yo suelo referirme como «re-researching»), desarrollo de PoC y encomiable labor de documentación técnica para que el resto de mortales de la comunidad lleguemos a interiorizarnos con esta brecha.

Lo que vengo a presentar hoy es una vulnerabilidad básica de Cross-Site Request Forgery, también ubicada con las siglas CSRF en el plugin Multi-Scheduler de WordPress.

El Sistema Integrado de Gestión Académica, también conocido por sus siglas como “GESAC” se trata de un aplicativo web empleado por la Escuela de Gestión Pública Plurinacional (EGPP).