TH Advance Product Search <= 1.1.4 - Missing Authorization to Plugin Settings Change

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo medio en el plugin TH Advance Product Search, que afecta a las versiones hasta la 1.1.4. Esta falla permite modificar la configuración del plugin sin la debida autorización.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en las configuraciones del plugin, lo que permite que usuarios no autorizados realicen cambios en la configuración del mismo. Esto expone el plugin a posibles manipulaciones maliciosas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes modificar configuraciones críticas del plugin, lo que podría comprometer la integridad de la tienda online y la experiencia del usuario. Esto podría traducirse en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas para cambiar la configuración del plugin sin la debida autorización, lo que les permite alterar el comportamiento del sistema.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.1.5 o superior. Además, se debe revisar la configuración de permisos de usuario y aplicar prácticas de seguridad que limiten el acceso a configuraciones críticas.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de cambios en la configuración del plugin o solicitudes inusuales a las API del mismo que no correspondan a usuarios autorizados.

Alcance afectado

Las versiones del plugin TH Advance Product Search hasta la 1.1.4 son las afectadas, por lo que se debe prestar especial atención a las instalaciones que no hayan sido actualizadas.