Advanced Dynamic Pricing for WooCommerce <= 4.1.5 - Cross-Site Request Forgery via migrateCommonToProductOnly function

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin 'Advanced Dynamic Pricing for WooCommerce' en versiones hasta la 4.1.5. Esta falla permite a un atacante realizar acciones no autorizadas en nombre de un usuario legítimo.

Contexto técnico

La vulnerabilidad reside en la función 'migrateCommonToProductOnly', que no valida adecuadamente las solicitudes. Esto permite a un atacante enviar peticiones maliciosas que pueden ser ejecutadas sin el consentimiento del usuario, afectando la integridad de los datos.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante modifique configuraciones de precios o realice cambios en productos sin autorización, lo que podría afectar la confianza del cliente y la estabilidad del negocio.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante el envío de solicitudes manipuladas a la aplicación web, que el usuario víctima puede activar sin saberlo al interactuar con un enlace o un botón malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.1.6 o superior. Además, es aconsejable implementar medidas de seguridad adicionales como la verificación de tokens CSRF y la revisión de permisos de usuario.

Señales de detección

Las señales de posible explotación incluyen cambios no autorizados en la configuración de precios o en productos, así como un aumento inusual en las solicitudes a la función afectada.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.1.6 del plugin 'Advanced Dynamic Pricing for WooCommerce'.