Ni WooCommerce Customer Product Report <= 1.2.4 - Missing Authorization to Authenticated (Subscriber+) Settings Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Ni WooCommerce Customer Product Report, que permite a usuarios autenticados con rol de suscriptor o superior realizar actualizaciones de configuración sin la autorización adecuada. Esta falla tiene una severidad media y afecta a la versión 1.2.4 y anteriores.

Contexto técnico

El fallo se origina en la falta de controles de autorización adecuados al permitir que usuarios con privilegios limitados accedan a funciones que deberían estar restringidas. Esto expone la superficie de ataque a usuarios que, aunque autenticados, no deberían tener acceso a ciertas configuraciones del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante modificar configuraciones críticas del plugin, lo que podría comprometer la integridad de los datos y la seguridad del sitio. Esto puede llevar a una pérdida de confianza por parte de los clientes y posibles repercusiones legales.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad accediendo al área de administración del plugin con cuentas de usuario autenticadas que tienen privilegios insuficientes. A través de técnicas de ingeniería social o credenciales robadas, pueden realizar cambios no autorizados.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.2.4 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los roles y permisos de los usuarios en el sitio para asegurar que solo los usuarios autorizados tengan acceso a configuraciones críticas.

Señales de detección

Señales de riesgo incluyen cambios no autorizados en la configuración del plugin, así como intentos de acceso a funciones restringidas por parte de usuarios con roles de suscriptor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.2.4 del plugin Ni WooCommerce Customer Product Report.