WooCommerce Google Feed Manager <= 2.8.0 - Missing Authorization to Authenticated (Contributor+) Arbitrary File Deletion

Resumen ejecutivo

Se ha detectado una vulnerabilidad crítica en el plugin WooCommerce Google Feed Manager, que permite la eliminación arbitraria de archivos debido a la falta de autorización para usuarios autenticados con rol de colaborador o superior. Esta vulnerabilidad, identificada como CVE-2024-7258, presenta un alto riesgo para la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en el plugin WooCommerce Google Feed Manager en versiones anteriores a la 2.9.0, donde no se implementan adecuadamente las comprobaciones de autorización. Esto permite a usuarios con permisos de colaborador o superiores ejecutar acciones no autorizadas, como la eliminación de archivos en el servidor.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la pérdida de datos críticos y afectar la integridad del sistema. Esto podría derivar en un impacto financiero y de reputación significativo para las empresas que dependen de este plugin para gestionar sus feeds de productos en WooCommerce.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al autenticarse como usuarios con rol de colaborador o superior y enviar solicitudes maliciosas para eliminar archivos arbitrarios del servidor, lo que puede comprometer la instalación de WordPress.

Mitigación recomendada

Se recomienda actualizar el plugin WooCommerce Google Feed Manager a la versión 2.9.0 o superior de inmediato. Además, se sugiere revisar los permisos de usuario y aplicar medidas de seguridad adicionales para limitar el acceso a funciones críticas del sistema.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusuales que muestren intentos de eliminación de archivos por parte de usuarios con rol de colaborador o superior, así como alertas de cambios inesperados en el sistema de archivos.

Alcance afectado

Las versiones del plugin WooCommerce Google Feed Manager hasta la 2.8.0 están afectadas. Las instalaciones que utilicen estas versiones deben ser consideradas en riesgo hasta que se realice la actualización correspondiente.