Flexible Refund and Return Order for WooCommerce <= 1.0.38 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Order Refund

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Flexible Refund and Return Order for WooCommerce' en versiones hasta la 1.0.38, que permite a usuarios autenticados (nivel suscriptor y superior) realizar reembolsos arbitrarios de pedidos. Esta vulnerabilidad tiene una severidad media con un CVSS de 4.3.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para la función de reembolso de pedidos, lo que permite a usuarios no autorizados ejecutar acciones que deberían estar restringidas. Esto afecta la integridad de las transacciones en la tienda online.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en pérdidas económicas significativas para los negocios, además de comprometer la confianza de los clientes en la plataforma. Un atacante podría emitir reembolsos no autorizados, afectando directamente los ingresos.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, utilizando cuentas de usuario con privilegios mínimos que no deberían tener acceso a la funcionalidad de reembolso.

Mitigación recomendada

Actualizar el plugin a la versión 1.0.39 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar medidas de seguridad adicionales como la autenticación de dos factores.

Señales de detección

Señales de explotación incluyen registros de actividad inusual en la sección de reembolsos, así como reembolsos que no coinciden con las solicitudes de los clientes o que provienen de cuentas de usuario de bajo nivel.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.39 del plugin 'Flexible Refund and Return Order for WooCommerce'.