MStore API <= 4.10.7 - Unauthorized Account Access and Privilege Escalation

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin MStore API, que permite el acceso no autorizado a cuentas y la escalación de privilegios. Esta vulnerabilidad, catalogada con un CVSS de 9.8, afecta a las versiones anteriores a la 4.10.8.

Contexto técnico

La vulnerabilidad se origina en un fallo de autenticación que permite a un atacante acceder a cuentas de usuario sin la debida autorización. Esto puede dar lugar a una escalación de privilegios, permitiendo al atacante realizar acciones no permitidas en la plataforma.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante obtener acceso a datos sensibles y realizar cambios en la configuración del sitio, lo que podría comprometer la integridad y la confidencialidad de la información del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante solicitudes maliciosas que eluden los controles de autenticación, lo que les permite acceder a cuentas de usuario sin credenciales válidas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin MStore API a la versión 4.10.8 o posterior. Además, se deben revisar los registros de acceso y aplicar medidas de seguridad adicionales, como la implementación de autenticación de dos factores.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a cuentas de usuario y cambios no autorizados en la configuración del plugin. Monitorizar los logs de acceso puede ayudar a identificar actividades sospechosas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.10.8 del plugin MStore API. Se aconseja a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen la actualización correspondiente.