Omnishop <= 1.0.9 - Cross-Site Request Forgery to Arbitrary User Deletion via /users/delete REST Endpoint

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Omnishop, que permite la eliminación arbitraria de usuarios a través del endpoint REST /users/delete. Esta vulnerabilidad afecta a las versiones hasta la 1.0.9 y tiene una severidad media con un CVSS de 6.5.

Contexto técnico

El fallo se origina en la falta de verificación adecuada de los tokens CSRF en las solicitudes enviadas al endpoint REST /users/delete. Esto permite que un atacante, mediante un enlace malicioso, pueda realizar peticiones no autorizadas que resulten en la eliminación de cuentas de usuario sin el consentimiento del propietario.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de la gestión de usuarios en la plataforma, permitiendo a un atacante eliminar cuentas de usuarios legítimos, lo que podría llevar a la pérdida de datos y a una disminución de la confianza en la seguridad del sitio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando un enlace malicioso a un usuario autenticado, induciéndolo a hacer clic y, de este modo, desencadenar la eliminación de su propia cuenta sin su conocimiento.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Omnishop a la versión 1.0.9 o superior, implementar medidas adicionales de verificación de CSRF en los endpoints REST, y revisar las configuraciones de seguridad del sitio para limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusual en la eliminación de usuarios, peticiones HTTP sospechosas al endpoint /users/delete y alertas de seguridad del sistema que indiquen intentos de acceso no autorizado.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.9 del plugin Omnishop. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.