Product Author for WooCommerce <= 1.0.7 - Cross-Site Request Forgery en WC Product Author - version 1.0.8

Resumen ejecutivo

La vulnerabilidad identificada en el plugin 'Product Author for WooCommerce' permite la ejecución remota de código a través de un ataque de tipo Cross-Site Request Forgery (CSRF). Este fallo afecta a las versiones hasta la 1.0.7 y ha sido corregido en la versión 1.0.8 lanzada el 27 de marzo de 2025.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones maliciosas en nombre de un usuario autenticado. Esto puede comprometer la integridad del sitio al permitir la ejecución de acciones no autorizadas.

Impacto potencial

La explotación de esta vulnerabilidad puede tener consecuencias graves, como la alteración de la configuración del sitio o la inyección de código malicioso. Esto podría afectar la confianza de los usuarios y la reputación del negocio, además de potencialmente comprometer datos sensibles.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante el envío de enlaces manipulados a usuarios autenticados, induciéndolos a realizar acciones no deseadas que ejecutan código malicioso en el servidor.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.0.8 o superior. Además, se debe implementar una política de seguridad que incluya la validación de solicitudes y la utilización de tokens CSRF.

Señales de detección

Señales de posible explotación incluyen actividades inusuales en los registros de acceso, cambios inesperados en la configuración del plugin o la aparición de código no autorizado en el sitio.

Alcance afectado

Las versiones del plugin 'Product Author for WooCommerce' hasta la 1.0.7 son vulnerables. Se recomienda a todos los usuarios de este plugin que verifiquen su versión y actualicen si es necesario.