Advanced Dynamic Pricing for WooCommerce <= 4.1.5 - Missing Authorization in migrateCommonToProductOnly function

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Advanced Dynamic Pricing for WooCommerce' en versiones anteriores a la 4.1.6. Esta vulnerabilidad permite la ejecución remota de código debido a una falta de autorización en una función específica.

Contexto técnico

La vulnerabilidad se encuentra en la función 'migrateCommonToProductOnly', donde la ausencia de controles de autorización adecuados permite a un atacante ejecutar código malicioso en el servidor. Esto expone la superficie de ataque a usuarios no autorizados que pueden interactuar con esta función.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código arbitrario en el servidor, lo que podría comprometer la integridad y disponibilidad del sitio web. Esto podría resultar en la pérdida de datos, alteración de la funcionalidad del sitio o incluso la toma de control total del mismo.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas que invocan la función afectada sin la debida autorización, lo que les permite ejecutar comandos en el servidor de forma remota.

Mitigación recomendada

Se recomienda actualizar el plugin 'Advanced Dynamic Pricing for WooCommerce' a la versión 4.1.6 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como firewalls y monitoreo de actividad sospechosa.

Señales de detección

Se deben estar atentos a patrones de tráfico inusuales que intenten acceder a la función 'migrateCommonToProductOnly' sin la autorización adecuada. También es importante monitorizar registros de errores y accesos que puedan indicar intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.1.6 del plugin 'Advanced Dynamic Pricing for WooCommerce'.