Premmerce Wishlist for WooCommerce <= 1.1.10 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Wishlist Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad de eliminación arbitraria de listas de deseos en el plugin 'Premmerce Wishlist for WooCommerce' en versiones hasta la 1.1.10. Esta falla permite a usuarios autenticados con rol de suscriptor o superior eliminar listas de deseos sin la debida autorización.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización adecuados al gestionar las listas de deseos, lo que permite que usuarios no autorizados realicen acciones que deberían estar restringidas. Esto afecta a la funcionalidad del plugin, permitiendo manipulaciones no deseadas por parte de usuarios con permisos limitados.

Impacto potencial

El impacto potencial incluye la pérdida de datos críticos para los usuarios y la confianza en la plataforma de comercio electrónico. Además, podría afectar la reputación del negocio si los clientes experimentan problemas con sus listas de deseos.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza a través de solicitudes maliciosas enviadas por un usuario autenticado que intenta eliminar listas de deseos sin los permisos necesarios.

Mitigación recomendada

Actualizar el plugin 'Premmerce Wishlist for WooCommerce' a la versión 1.1.11 o superior. Además, se recomienda revisar los permisos de usuario y aplicar controles de autorización más estrictos para la gestión de listas de deseos.

Señales de detección

Señales de riesgo pueden incluir registros de actividad inusual donde un usuario autenticado intenta eliminar listas de deseos que no le pertenecen, así como aumentos en las quejas de usuarios sobre la pérdida de sus listas.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin hasta la 1.1.10. Las instalaciones que no han actualizado a la versión 1.1.11 están en riesgo.