SMS Alert Order Notifications – WooCommerce <= 3.7.9 - Unauthenticated Account Takeover/Privilege Escalation

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin SMS Alert Order Notifications para WooCommerce, que permite la toma de control no autenticada de cuentas y escalada de privilegios en versiones hasta la 3.7.9. Esta vulnerabilidad, catalogada con un CVSS de 9.8, representa un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se clasifica como una ejecución remota de código (RCE), lo que permite a un atacante ejecutar código malicioso en el servidor sin necesidad de autenticación previa. Esto se debe a fallos en la validación de entradas y en la gestión de sesiones dentro del plugin, ampliando así la superficie de ataque.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la toma de control total de la cuenta de un usuario, permitiendo al atacante realizar acciones maliciosas como el acceso a datos sensibles, modificación de pedidos y potencialmente la inyección de malware en la instalación de WordPress, lo que podría comprometer la integridad y la confianza del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas a la API del plugin, lo que les permite ejecutar código arbitrario en el servidor. Esto se puede lograr sin necesidad de autenticarse, lo que aumenta la facilidad de explotación.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin SMS Alert Order Notifications a la versión 3.8.0 o superior. Además, se sugiere realizar una auditoría de seguridad en la instalación de WordPress y aplicar prácticas de hardening, como desactivar la ejecución de PHP en carpetas no necesarias y limitar el acceso a la API del plugin.

Señales de detección

Se deben monitorizar los registros de acceso y errores en busca de patrones inusuales, como intentos de acceso no autorizados o solicitudes a endpoints del plugin que no deberían ser accesibles sin autenticación. Alertas de tráfico inusual también pueden ser un indicativo de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.8.0 del plugin SMS Alert Order Notifications para WooCommerce. Instalaciones que utilicen estas versiones están en riesgo de sufrir ataques.