WooCommerce Multiple Customer Addresses & Shipping <= 21.6 - Missing Authorization leading to Authenticated (Subscriber+) Arbitrary Address Creation/Deletion/View/Updates

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin WooCommerce Multiple Customer Addresses & Shipping, que permite a usuarios autenticados con rol de suscriptor o superior crear, eliminar, ver y actualizar direcciones arbitrarias. Esta vulnerabilidad tiene una severidad media, con un CVSS de 6.3.

Contexto técnico

El fallo se origina por la falta de controles de autorización adecuados en las funciones que gestionan las direcciones de clientes. Esto permite que cualquier usuario autenticado, incluso aquellos con privilegios limitados, realice acciones que deberían estar restringidas.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante manipular direcciones de clientes, lo que podría resultar en fraudes, pérdida de datos o alteraciones en la experiencia del cliente. Esto puede afectar la reputación de la empresa y generar pérdidas económicas.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la invocación de funciones del plugin a través de solicitudes HTTP manipuladas, donde el atacante utiliza su cuenta autenticada para realizar operaciones no autorizadas.

Mitigación recomendada

Actualizar el plugin WooCommerce Multiple Customer Addresses & Shipping a la versión 21.7 o superior. Además, se recomienda revisar los permisos de usuario y aplicar políticas de autorización más estrictas.

Señales de detección

Monitorear registros de actividad del plugin para detectar cambios inusuales en las direcciones de clientes, así como alertas sobre accesos no autorizados o modificaciones realizadas por usuarios con privilegios limitados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 21.7 del plugin WooCommerce Multiple Customer Addresses & Shipping, publicado antes del 27 de febrero de 2023.