Local Delivery Drivers for WooCommerce <= 1.9.0 - Missing Authorization to Driver Account Takeover - version 1.9.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Local Delivery Drivers for WooCommerce' hasta la versión 1.9.0, que permite a un atacante tomar el control de cuentas de conductor debido a una falta de autorización. Esta vulnerabilidad, catalogada con un CVSS de 7.3, representa un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la ausencia de un mecanismo adecuado de autorización en el plugin, lo que permite a un atacante realizar acciones no autorizadas en las cuentas de conductor. Esto se traduce en una posible ejecución remota de código (RCE), aumentando la superficie de ataque en entornos donde se utiliza este plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante acceder y manipular cuentas de conductor, comprometiendo la integridad de los datos y la confianza de los usuarios. Esto puede resultar en pérdidas económicas y daños a la reputación de la empresa que utiliza el plugin.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas que el plugin no valida correctamente, permitiendo así la toma de control de cuentas de conductor sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.9.1 o superior, donde se ha corregido el fallo. Además, se sugiere revisar los registros de actividad del plugin y aplicar medidas de seguridad adicionales, como la implementación de controles de acceso más estrictos.

Señales de detección

Las señales de riesgo incluyen intentos inusuales de acceso a cuentas de conductor, cambios no autorizados en la configuración del plugin y actividad sospechosa en los registros de acceso.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Local Delivery Drivers for WooCommerce' hasta la 1.9.0. Las instalaciones que no han actualizado a la versión 1.9.1 están en riesgo.