WooCommerce Add to Cart Custom Redirect <= 1.2.13 - Authenticated(Contributor+) Missing Authorization to Limited Arbitrary Options Update - version 1.2.14

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WooCommerce Add to Cart Custom Redirect, que permite a usuarios autenticados con rol de colaborador o superior realizar actualizaciones arbitrarias en opciones limitadas. Esta vulnerabilidad, registrada como CVE-2024-1862, tiene una puntuación de severidad alta (8.1 en la escala CVSS).

Contexto técnico

El fallo se origina en la falta de autorización adecuada para ciertas operaciones dentro del plugin, lo que permite a usuarios con permisos limitados modificar configuraciones que deberían estar restringidas. Esto representa una superficie de ataque que puede ser explotada por cualquier usuario autenticado con rol de colaborador o superior.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a los atacantes modificar opciones críticas que podrían afectar el funcionamiento del comercio electrónico. Esto podría resultar en pérdidas económicas, daños a la reputación y posibles filtraciones de datos.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad accediendo al panel de administración del sitio con credenciales válidas y realizando cambios no autorizados en las configuraciones del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WooCommerce Add to Cart Custom Redirect a la versión 1.2.14 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la gestión de roles y capacidades dentro del sitio.

Señales de detección

Las señales para detectar posibles riesgos incluyen cambios no autorizados en las configuraciones del plugin, accesos inusuales por parte de usuarios autenticados y registros de actividad que indiquen modificaciones en opciones restringidas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.2.14 del plugin WooCommerce Add to Cart Custom Redirect. Se recomienda comprobar la instalación actual para determinar si está en riesgo.