Advanced Shipment Tracking for WooCommerce <= 3.5.2 - Cross-Site Request Forgery via paginate_shipping_provider_list and filter_shipping_provider_list

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Advanced Shipment Tracking para WooCommerce, que afecta a las versiones hasta la 3.5.2. Esta vulnerabilidad, con un nivel de severidad medio, permite a un atacante ejecutar acciones no autorizadas en el contexto de un usuario autenticado.

Contexto técnico

La vulnerabilidad se encuentra en las funciones 'paginate_shipping_provider_list' y 'filter_shipping_provider_list', que no implementan correctamente las medidas de seguridad necesarias para validar las solicitudes. Esto permite que un atacante envíe peticiones maliciosas desde un sitio externo, comprometiendo la integridad de las acciones realizadas por el usuario en el panel de administración.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que podría permitir a un atacante realizar acciones no autorizadas en la tienda en línea, como modificar envíos o acceder a datos sensibles. Esto podría traducirse en pérdidas económicas y daños a la reputación de la empresa afectada.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando enlaces maliciosos a los usuarios autenticados, incitándolos a hacer clic en ellos. Al hacerlo, se envían solicitudes no deseadas al servidor, que son procesadas como si provinieran del usuario legítimo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Advanced Shipment Tracking a la versión 3.5.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la verificación de tokens CSRF en todas las solicitudes que modifiquen datos.

Señales de detección

Se deben monitorear los registros de acceso y las solicitudes HTTP para detectar patrones inusuales, como múltiples solicitudes desde una misma sesión o peticiones que no incluyen los tokens de seguridad esperados.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 3.5.3. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen las actualizaciones necesarias.