Stamped.io Product Reviews & UGC for WooCommerce <= 2.3.2 - Missing Authorization

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código (RCE) en el plugin Stamped.io Product Reviews & UGC para WooCommerce, afectando a las versiones hasta la 2.3.2. Esta vulnerabilidad, catalogada con una severidad media y un CVSS de 6.5, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el plugin, lo que permite a un atacante no autenticado ejecutar código malicioso en el servidor. Esto amplía la superficie de ataque, ya que no se requiere autenticación para aprovechar la falla.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante ejecute código arbitrario en el servidor, lo que podría llevar al robo de datos sensibles, alteración de la funcionalidad del sitio o incluso la toma de control total del mismo, afectando gravemente la reputación y la operativa del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas al servidor, lo que les permite ejecutar código no autorizado sin necesidad de estar autenticados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.3.3 o superior. Además, se sugiere implementar medidas de hardening en la configuración del servidor y en el propio WordPress, como limitar el acceso a áreas críticas y monitorizar las actividades sospechosas.

Señales de detección

Señales de posible explotación incluyen intentos de acceso no autorizado a recursos del plugin, así como registros de ejecución de comandos inusuales en el servidor que podrían indicar actividad maliciosa.

Alcance afectado

Las versiones del plugin Stamped.io Product Reviews & UGC para WooCommerce hasta la 2.3.2 están afectadas, por lo que es crucial verificar las instalaciones para asegurar que no están en uso estas versiones vulnerables.