WPCS – WordPress Currency Switcher Professional <= 1.1.9 - Missing Authorization to Arbitrary Custom Drop-Down Currency Switcher Editing

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'WPCS – WordPress Currency Switcher Professional' en versiones hasta la 1.1.9, que permite la edición no autorizada de opciones en el conmutador de divisas. Esta vulnerabilidad tiene una severidad media con un CVSS de 4.3.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para editar el conmutador de divisas personalizado. Esto significa que un atacante podría modificar configuraciones críticas sin necesidad de permisos adecuados, lo que expone la funcionalidad del plugin a manipulaciones malintencionadas.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de las transacciones financieras en el sitio, afectando la confianza del usuario y potencialmente causando pérdidas económicas. Además, podría ser utilizado como un vector para ataques adicionales si se combina con otras vulnerabilidades.

Vector de explotación

Generalmente, la explotación se realiza mediante el envío de solicitudes manipuladas a la API del plugin, que no valida adecuadamente los permisos del usuario, permitiendo así cambios no autorizados en la configuración del conmutador de divisas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.2.0 o superior. Además, se sugiere revisar los permisos de usuario y aplicar controles adicionales que limiten el acceso a las funciones críticas del plugin.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en la configuración del conmutador de divisas, así como registros de actividad inusual en el panel de administración que indiquen intentos de modificación sin los permisos correspondientes.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin hasta la 1.1.9. Los usuarios que utilicen estas versiones deben actuar con rapidez para proteger sus instalaciones.