MStore API <= 3.9.6 - Cross-Site Request Forgery to Product Limit Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin MStore API, que afecta a las versiones hasta la 3.9.6. Esta vulnerabilidad permite a un atacante manipular la actualización del límite de productos sin autorización.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones maliciosas que pueden ser ejecutadas en el contexto de un usuario autenticado. Esto se traduce en un riesgo significativo para la integridad de los datos del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la gestión de productos en la tienda, permitiendo a un atacante modificar configuraciones críticas. Esto puede resultar en pérdidas económicas y afectar la confianza de los clientes en la plataforma.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante el envío de solicitudes maliciosas a través de formularios o enlaces engañosos que un usuario autenticado podría activar sin darse cuenta.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin MStore API a la versión 3.9.7 o superior. Además, se deben implementar medidas de seguridad adicionales, como la validación de tokens CSRF en todas las solicitudes críticas.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración del límite de productos y actividad inusual en las cuentas de usuario, especialmente aquellas con privilegios administrativos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.9.7 del plugin MStore API.