Fuente base de datos: Wordfence Intelligence

Booster (<= 5.6.6), Booster Plus (<= 5.6.5), and Booster Elite (<= 1.1.7) for WooCommerce - Cross-Site Request Forgery leading to Arbitrary Custom Role Creation/Deletion

PLUGIN MEDIUM CVE-2022-4016

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en los plugins Booster para WooCommerce, que permite la creación y eliminación arbitraria de roles personalizados. Esta falla afecta a varias versiones de los plugins, lo que podría comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones maliciosas que pueden ser ejecutadas por usuarios autenticados. Esto afecta principalmente a los usuarios con permisos de administración, quienes pueden ver comprometidos sus roles y permisos.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante crear o eliminar roles personalizados en el sistema, lo que podría llevar a una escalada de privilegios y a la manipulación de datos críticos. Esto representa un riesgo significativo para la integridad y la seguridad de la instalación de WooCommerce.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando enlaces maliciosos a usuarios autenticados, induciéndolos a hacer clic y ejecutar acciones no deseadas en el sistema sin su consentimiento.

Mitigación recomendada

Se recomienda actualizar a la versión 5.6.6 o superior del plugin Booster para WooCommerce. Además, implementar medidas de seguridad adicionales como la verificación de nonce en las solicitudes y la revisión de permisos de usuario puede ayudar a mitigar el riesgo.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en los roles de usuario, así como actividad inusual en las solicitudes de administración. Monitorear los registros de acceso y cambios en la configuración de roles puede ser útil.

Alcance afectado

Las versiones afectadas incluyen Booster hasta la 5.6.6, Booster Plus hasta la 5.6.5 y Booster Elite hasta la 1.1.7. Las instalaciones que no han actualizado a estas versiones están en riesgo.