Open Close WooCommerce Store <= 4.9.1 - Missing Authorization

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Open Close WooCommerce Store, que afecta a las versiones hasta la 4.9.1. Esta vulnerabilidad permite la ejecución remota de código debido a una falta de autorización adecuada.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en ciertas funciones del plugin, permitiendo a usuarios no autenticados ejecutar código malicioso en el servidor. Esto amplía la superficie de ataque, especialmente en sitios que utilizan WooCommerce.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante ejecute código arbitrario en el servidor, lo que podría comprometer la integridad y disponibilidad del sitio web, así como la seguridad de los datos de los usuarios y transacciones.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a las funciones afectadas del plugin sin necesidad de autenticación, lo que facilita la explotación.

Mitigación recomendada

Actualizar el plugin Open Close WooCommerce Store a la versión 4.9.2 o superior para cerrar la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar medidas de seguridad adicionales en el sitio.

Señales de detección

Señales de posible explotación incluyen logs de acceso inusuales a las funciones del plugin, así como cambios inesperados en archivos del servidor o en la base de datos.

Alcance afectado

Las versiones del plugin Open Close WooCommerce Store afectadas son todas hasta la 4.9.1. La versión 4.9.2 y posteriores contienen la corrección.