Omnishop <= 1.0.9 - Missing Registration Restriction to Unauthenticated Account Creation via /users/register REST Endpoint (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autenticación en el plugin Omnishop, que permite la creación de cuentas no autenticadas a través del endpoint REST de registro. Esta vulnerabilidad afecta a las versiones hasta la 1.0.9 y tiene una severidad media.

Contexto técnico

El fallo se origina en la falta de restricciones adecuadas para el registro de usuarios en el endpoint '/users/register' del plugin Omnishop. Esto permite que cualquier usuario, sin necesidad de estar autenticado, pueda crear cuentas en el sistema, lo que podría llevar a un uso indebido de la plataforma.

Impacto potencial

El impacto potencial incluye la posibilidad de que actores maliciosos creen cuentas no autorizadas, lo que podría resultar en un aumento de spam, acceso no deseado a información sensible y una posible degradación de la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad normalmente se realiza enviando solicitudes al endpoint REST mencionado, permitiendo la creación de cuentas sin autenticación previa.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Omnishop a la versión 1.0.9 o superior, así como implementar controles adicionales en el registro de usuarios, como la verificación de email o CAPTCHA.

Señales de detección

Señales de riesgo incluyen un aumento inusual en el número de cuentas de usuario creadas, así como intentos de acceso a la API REST sin autenticación previa.

Alcance afectado

Las versiones del plugin Omnishop hasta la 1.0.9 están afectadas por esta vulnerabilidad, por lo que es crucial verificar las instalaciones en uso.