B2BKing <= 4.6.00 - Missing Authorization to Authenticated(Subscriber+) Information Disclosure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin B2BKing para WooCommerce, que afecta a las versiones hasta la 4.6.00. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor acceder a información sensible de otros usuarios.

Contexto técnico

El fallo se origina por la falta de autorización adecuada en el acceso a ciertos datos, lo que permite que usuarios con permisos limitados puedan obtener información que debería estar restringida. Esto afecta a la superficie de ataque al permitir la explotación por parte de usuarios autenticados.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la privacidad de los datos de los usuarios, lo que podría llevar a una pérdida de confianza por parte de los clientes y posibles implicaciones legales. Además, la divulgación de información sensible puede ser utilizada para ataques más complejos.

Vector de explotación

Generalmente, la vulnerabilidad se explota mediante el acceso a URLs específicas que devuelven información sensible sin la debida verificación de permisos, permitiendo a los atacantes autenticados acceder a datos que no deberían poder ver.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin B2BKing a la versión 4.6.20 o superior. Además, se sugiere revisar los permisos de usuario y aplicar políticas de acceso más estrictas para proteger la información sensible.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de acceso inusuales que muestren accesos a datos restringidos por parte de usuarios con permisos limitados, así como por alertas de cambios en la configuración de permisos de usuario.

Alcance afectado

Las versiones del plugin B2BKing hasta la 4.6.00 están afectadas por esta vulnerabilidad, por lo que todas las instalaciones que utilicen estas versiones son susceptibles.