MultiVendorX – The Ultimate WooCommerce Multivendor Marketplace Solution <= 4.2.19 - Missing Authorization to Unauthenticated Table Rates Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin MultiVendorX para WooCommerce, que permite la eliminación no autorizada de tarifas de tabla por usuarios no autenticados. Esta vulnerabilidad afecta a las versiones hasta la 4.2.19 y se ha calificado con una severidad media.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados, lo que permite a cualquier usuario no autenticado realizar solicitudes que resulten en la eliminación de tarifas de tabla. Esto representa un riesgo significativo, ya que podría afectar la configuración de precios y tarifas en el marketplace.

Impacto potencial

La explotación de esta vulnerabilidad podría llevar a la pérdida de datos críticos relacionados con la gestión de tarifas, lo que afectaría la operativa del negocio y podría resultar en pérdidas económicas y de confianza por parte de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, sin necesidad de estar autenticados, lo que les permite eliminar tarifas de tabla de manera arbitraria.

Mitigación recomendada

Se recomienda actualizar el plugin MultiVendorX a la versión 4.2.20 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de usuario y aplicar controles adicionales de autorización en las funciones críticas del plugin.

Señales de detección

Señales de posible explotación incluyen registros de eliminación de tarifas de tabla por usuarios no autenticados y un aumento inusual en las solicitudes a la API del plugin.

Alcance afectado

Las versiones del plugin MultiVendorX hasta la 4.2.19 están afectadas. La vulnerabilidad fue corregida en la versión 4.2.20, publicada el 4 de abril de 2025.