Fuente base de datos: Wordfence Intelligence

WooCommerce Multivendor Marketplace – REST API <= 1.5.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Order/Order Note Disclosure, Order Note Addition via REST API en Wcfm Marketplace Rest API - version 1.6.0

PLUGIN MEDIUM CVE-2023-2275

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WooCommerce Multivendor Marketplace – REST API, que permite la divulgación arbitraria de pedidos y notas de pedidos. Esta falla afecta a versiones anteriores a la 1.6.0 y tiene una severidad media.

Contexto técnico

La vulnerabilidad se origina debido a la falta de autorización adecuada en el acceso a la API REST del plugin, lo que permite a usuarios autenticados con rol de suscriptor o superior acceder a información sensible de pedidos y notas de pedidos sin las restricciones necesarias.

Impacto potencial

El impacto potencial incluye la exposición de datos confidenciales de pedidos, lo que podría comprometer la privacidad de los clientes y la integridad de la información del negocio. Esto podría resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a la API REST del plugin, lo que les permite acceder a información de pedidos y agregar notas sin la debida autorización.

Mitigación recomendada

Actualizar el plugin WooCommerce Multivendor Marketplace – REST API a la versión 1.6.0 o superior. Además, se recomienda revisar los permisos de usuario y aplicar controles de acceso más estrictos en la API.

Señales de detección

Señales de riesgo incluyen solicitudes inusuales a la API REST, especialmente aquellas que intentan acceder a datos de pedidos sin los permisos adecuados. Monitorear registros de acceso puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones del plugin anteriores a la 1.6.0 están afectadas. Es crucial verificar las instalaciones para asegurar que se esté utilizando una versión segura.

Vulnerabilidades relacionadas

HIGH PLUGIN

cmp-coming-soon-maintenance

CMP – Coming Soon & Maintenance Plugin by NiteoThemes <= 4.1.16 - Missing Authorization to Authenticated (Administrator+) Arbitrary File Upload and Remote Code Execution

MEDIUM PLUGIN

quiz-master-next

Quiz and Survey Master (QSM) <= 11.1.0 - Unauthenticated Shortcode Injection Leading to Arbitrary Quiz Result Disclosure via Quiz Answer Text Input Fields

HIGH PLUGIN

woo-redsys-gateway-light

Payment Gateway for Redsys & WooCommerce Lite <= 7.0.0 - Improper Verification of Cryptographic Signature to Unauthenticated Payment Status Manipulation

MEDIUM PLUGIN

woocommerce-germanized

Germanized for WooCommerce <= 3.20.5 - Unauthenticated Arbitrary Shortcode Execution

MEDIUM PLUGIN

customer-reviews-woocommerce

Customer Reviews for WooCommerce <= 5.103.0 - Unauthenticated Authentication Bypass to Arbitrary Review Submission via 'key' Parameter

CRITICAL PLUGIN

datalogics

Datalogics Ecommerce Delivery – Datalogics <= 2.6.62 - Unauthenticated Privilege Escalation

HIGH PLUGIN

woo-cart-abandonment-recovery

Cart Abandonment Recovery for WooCommerce – Recover Lost Sales with Automated Emails < 2.1.0 - Authenticated (Shop Manager+) Privilege Escalation

MEDIUM PLUGIN

webappick-product-feed-for-woocommerce

Product Feed Manager for WooCommerce – CTX Feed – Support 220+ Shopping & Social Channels <= 6.6.26 - Authenticated (Shop Manager+) PHP Object Injection

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto