Torod – The smart shipping and delivery portal for e-shops and retailers <= 1.7 - Missing Authorization to Unauthenticated Plugin Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin Torod, que afecta a versiones hasta la 1.7. Esta falla permite a usuarios no autenticados modificar configuraciones del plugin, lo que puede comprometer la seguridad de la tienda online.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en las configuraciones del plugin Torod. Esto permite que cualquier usuario, sin necesidad de autenticarse, pueda realizar cambios en la configuración del plugin, afectando así la integridad y seguridad del sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante no autenticado alterar configuraciones críticas del plugin, potencialmente llevando a la exposición de datos sensibles o a la interrupción del servicio de la tienda online.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a las configuraciones del plugin, lo que les permite realizar cambios sin necesidad de autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Torod a la versión 1.8 o superior. Además, se sugiere revisar las configuraciones de seguridad del sitio y aplicar medidas de hardening adicionales.

Señales de detección

Señales de riesgo incluyen cambios no autorizados en la configuración del plugin y registros de acceso inusuales a las áreas de administración del plugin por parte de usuarios no autenticados.

Alcance afectado

Las versiones del plugin Torod hasta la 1.7 son las que presentan esta vulnerabilidad. Las instalaciones que utilicen estas versiones están en riesgo.