SMS Alert Order Notifications – WooCommerce <= 3.7.6 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin SMS Alert Order Notifications para WooCommerce, que permite a usuarios autenticados con rol de suscriptor o superior realizar actualizaciones arbitrarias de opciones. Esta vulnerabilidad, catalogada con un CVSS de 8.8, podría ser explotada para comprometer la integridad del sistema.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el plugin SMS Alert Order Notifications, permitiendo a usuarios autenticados modificar configuraciones que deberían estar restringidas. Esto representa una superficie de ataque significativa, ya que cualquier suscriptor o usuario con un rol superior puede potencialmente realizar cambios no autorizados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a atacantes modificar configuraciones críticas del plugin, lo que podría llevar a la pérdida de datos, alteraciones en el comportamiento del sitio y comprometer la seguridad general de la tienda online.

Vector de explotación

La explotación se suele llevar a cabo mediante el acceso a la interfaz del plugin por parte de un usuario autenticado, quien puede enviar solicitudes maliciosas para actualizar opciones sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin SMS Alert Order Notifications a la versión 3.7.7 o superior. Además, es aconsejable realizar una auditoría de los roles de usuario y sus permisos, así como implementar medidas de seguridad adicionales como la limitación de acceso a funciones críticas.

Señales de detección

Señales de riesgo pueden incluir cambios inesperados en la configuración del plugin, registros de acceso inusuales de usuarios autenticados o intentos de modificación de opciones por parte de suscriptores.

Alcance afectado

Las versiones del plugin SMS Alert Order Notifications para WooCommerce hasta la 3.7.6 son las afectadas. Se debe prestar atención a todas las instalaciones que utilicen estas versiones.