Abandoned Cart Lite for WooCommerce <= 5.16.0 - Improper Authorization via wcal_delete_expired_used_coupon_code

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización inadecuada en el plugin 'Abandoned Cart Lite for WooCommerce' en versiones hasta la 5.16.0. Esta falla podría permitir a un atacante realizar acciones no autorizadas.

Contexto técnico

La vulnerabilidad se origina en la función que gestiona la eliminación de códigos de cupones expirados. Debido a una falta de verificación adecuada de permisos, un atacante podría acceder a esta funcionalidad sin las credenciales necesarias, lo que abre la puerta a posibles acciones maliciosas.

Impacto potencial

Aunque la gravedad de esta vulnerabilidad es baja (CVSS 3.1), su explotación podría comprometer la integridad de la gestión de cupones, afectando potencialmente la confianza del cliente y la reputación del negocio.

Vector de explotación

Generalmente, un atacante podría explotar esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, intentando eliminar cupones expirados sin autorización adecuada.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 5.16.1 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la gestión de plugins.

Señales de detección

Se deben monitorizar los registros de acceso y las solicitudes a la API del plugin en busca de actividades inusuales relacionadas con la eliminación de códigos de cupones.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.16.1 del plugin 'Abandoned Cart Lite for WooCommerce'.