Welcart e-Commerce <= 2.8.3 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica de tipo Cross-Site Request Forgery (CSRF) en el plugin Welcart e-Commerce, que afecta a las versiones anteriores a 2.8.4. Esta vulnerabilidad puede permitir a un atacante ejecutar acciones no autorizadas en el contexto de un usuario autenticado.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que posibilita que un atacante envíe peticiones maliciosas que el servidor puede interpretar como legítimas. Esto expone a los usuarios a la ejecución de acciones no deseadas, especialmente si están autenticados.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de la tienda en línea, permitiendo a un atacante realizar cambios no autorizados, como modificar pedidos, acceder a datos sensibles de los usuarios o incluso tomar el control total de la cuenta del administrador, lo que podría resultar en pérdidas económicas y de confianza.

Vector de explotación

Generalmente, los atacantes pueden explotar esta vulnerabilidad mediante el envío de enlaces maliciosos a usuarios autenticados, induciéndolos a hacer clic en estos enlaces mientras están conectados a su cuenta, lo que desencadena acciones no deseadas en el sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Welcart e-Commerce a la versión 2.8.4 o superior. Además, es aconsejable implementar medidas de seguridad adicionales, como la validación de tokens CSRF y la revisión de permisos de usuario.

Señales de detección

Señales de posible explotación incluyen actividad inusual en las cuentas de usuario, cambios inesperados en pedidos o configuraciones, y registros de acceso que muestren peticiones no autorizadas desde fuentes sospechosas.

Alcance afectado

Las versiones de Welcart e-Commerce anteriores a la 2.8.4 están afectadas, lo que incluye todas las instalaciones que no han recibido la actualización desde la publicación del aviso el 28 de noviembre de 2022.