WooODT Lite – Delivery & pickup date time location for WooCommerce <= 2.5.1 - Unauthenticated Full Path Dsiclosure en Byconsole WOO Order Delivery Time - version 2.5.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de rutas en el plugin WooODT Lite para WooCommerce, que afecta a las versiones anteriores a 2.5.2. Esta falla permite a atacantes no autenticados acceder a información sensible del sistema.

Contexto técnico

La vulnerabilidad se clasifica como una divulgación de ruta completa (full path disclosure), lo que significa que permite a un atacante obtener información sobre la estructura de archivos del servidor. Esto puede facilitar ataques posteriores, como la ejecución remota de código, al proporcionar detalles sobre el entorno de alojamiento.

Impacto potencial

El impacto potencial incluye la exposición de información sensible que puede ser utilizada para comprometer la seguridad del sitio web. Esto puede llevar a una pérdida de confianza por parte de los clientes y afectar negativamente a la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas a la aplicación, lo que les permite obtener información sobre las rutas de los archivos en el servidor sin necesidad de autenticación.

Mitigación recomendada

Actualizar el plugin WooODT Lite a la versión 2.5.2 o posterior para cerrar la vulnerabilidad. Además, se recomienda realizar una revisión de seguridad del sitio y aplicar medidas de hardening adicionales, como la limitación de acceso a archivos sensibles.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales que intentan acceder a rutas de archivos específicos, así como alertas de seguridad en el sistema que indiquen intentos de acceso no autorizado.

Alcance afectado

Las versiones del plugin WooODT Lite para WooCommerce hasta la 2.5.1 están afectadas. Es crucial que los administradores de sitios que utilicen este plugin verifiquen la versión instalada.