WooCommerce Google Feed Manager <= 2.8.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary Feed Actions

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo RCE en el plugin WooCommerce Google Feed Manager, que permite realizar acciones arbitrarias en feeds sin la autorización adecuada. Esta vulnerabilidad afecta a versiones anteriores a la 2.9.0 y presenta un nivel de severidad medio.

Contexto técnico

El fallo radica en la falta de autorización para realizar acciones en los feeds de productos, lo que permite a usuarios autenticados con rol de contribuidor o superior ejecutar acciones no autorizadas. Esto puede comprometer la integridad de los datos del feed y potencialmente permitir la ejecución de código malicioso.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la manipulación de datos en los feeds de productos, afectando la presentación y disponibilidad de productos en la tienda. Esto podría resultar en pérdidas económicas y dañar la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al acceder a la interfaz del plugin como usuarios autenticados, permitiéndoles realizar cambios no autorizados en los feeds de productos.

Mitigación recomendada

Se recomienda actualizar el plugin WooCommerce Google Feed Manager a la versión 2.9.0 o superior. Además, es aconsejable revisar los permisos de los usuarios y aplicar medidas de seguridad adicionales para limitar el acceso a funciones críticas del plugin.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en los feeds de productos, accesos inusuales a la administración de feeds por parte de usuarios con rol de contribuidor, y alertas en los registros de actividad del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.9.0 del plugin WooCommerce Google Feed Manager, publicado antes del 22 de agosto de 2024.