B2BKing <= 4.6.00 - Missing Authorization to Authenticated(Subscriber+) Price Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo autorización en el plugin B2BKing para WooCommerce, que afecta a versiones hasta la 4.6.00. Esta falla permite a usuarios autenticados con rol de suscriptor modificar precios, lo que puede comprometer la integridad del sistema de comercio electrónico.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados para la modificación de precios en el plugin B2BKing. Esto significa que usuarios con permisos limitados pueden realizar cambios en precios que deberían estar restringidos a roles más altos, como administradores o editores.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados alterar precios de productos, lo que puede resultar en pérdidas económicas para el negocio y afectar la confianza de los clientes en la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante el acceso a la interfaz del plugin por parte de un usuario autenticado con rol de suscriptor o superior, aprovechando la falta de verificación de permisos al modificar precios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin B2BKing a la versión 4.6.20 o superior. Además, se debe revisar y reforzar la configuración de permisos de usuario en el sitio web para asegurar que solo los roles adecuados tengan acceso a la modificación de precios.

Señales de detección

Señales de riesgo incluyen cambios inusuales en los precios de los productos por parte de usuarios con rol de suscriptor, así como auditorías de logs que muestren modificaciones en los precios sin la debida autorización.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin B2BKing hasta la 4.6.00. Se recomienda a los administradores de tiendas WooCommerce que verifiquen la versión instalada y apliquen la actualización correspondiente.