Knowband Mobile App Builder <= 2.0.8 - Missing Authorization to Unauthenticated Arbitrary User Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de omisión de autorización en el plugin Knowband Mobile App Builder para WooCommerce, que permite la eliminación arbitraria de usuarios no autenticados. Esta vulnerabilidad afecta a las versiones hasta la 2.0.8 y tiene un nivel de severidad medio.

Contexto técnico

El fallo se origina en la falta de verificación de autorización, lo que permite a usuarios no autenticados realizar acciones que deberían estar restringidas. La superficie de ataque se centra en las funcionalidades de gestión de usuarios del plugin, donde se puede ejecutar la eliminación de cuentas sin la debida validación.

Impacto potencial

La explotación de esta vulnerabilidad podría llevar a la eliminación no autorizada de cuentas de usuario, lo que afectaría la integridad de la base de datos de usuarios y podría causar pérdida de confianza entre los clientes. Además, podría tener repercusiones legales si se ven comprometidos datos sensibles.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes maliciosas a las funciones del plugin que gestionan la eliminación de usuarios, sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Knowband Mobile App Builder a la versión 3.0.0 o superior. Además, se recomienda revisar las configuraciones de usuario y aplicar medidas de seguridad adicionales, como la implementación de un firewall de aplicaciones web.

Señales de detección

Monitorear registros de acceso para detectar intentos de eliminación de usuarios no autenticados y revisar las configuraciones del plugin para identificar posibles configuraciones inseguras.

Alcance afectado

Las versiones del plugin Knowband Mobile App Builder para WooCommerce hasta la 2.0.8 son las afectadas. La vulnerabilidad fue publicada el 10 de diciembre de 2025.