Reviewify <= 1.0.7 - Missing Authorization to Authenticated (Contributor+) Arbitrary WooCommerce Coupon Creation

Resumen ejecutivo

La vulnerabilidad en el plugin Reviewify hasta la versión 1.0.7 permite la creación arbitraria de cupones de WooCommerce por usuarios autenticados con rol de colaborador o superior. Este fallo presenta un riesgo significativo para la integridad de las transacciones y descuentos en la tienda online.

Contexto técnico

El fallo se origina por la falta de autorización adecuada en las funciones que gestionan la creación de cupones en WooCommerce. Esto permite a usuarios con permisos limitados, como colaboradores, ejecutar acciones que deberían estar restringidas a administradores, comprometiendo la seguridad de la tienda.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la creación no autorizada de cupones, lo que podría llevar a pérdidas económicas significativas y a la manipulación de precios en la tienda online. Además, puede afectar la confianza del cliente en la plataforma.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante el uso de cuentas de usuario con permisos de colaborador o superiores, accediendo a las funciones de creación de cupones sin la debida autorización.

Mitigación recomendada

Actualizar el plugin Reviewify a la versión 1.0.8 o superior para cerrar la vulnerabilidad. Además, revisar los permisos de los roles de usuario y aplicar políticas de seguridad más estrictas para la gestión de cupones en WooCommerce.

Señales de detección

Señales de riesgo incluyen la creación inusual de cupones por parte de usuarios con permisos limitados, así como cambios inesperados en las configuraciones de descuento de WooCommerce.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Reviewify hasta la 1.0.7. Se recomienda a los usuarios de WooCommerce que utilicen este plugin que realicen la actualización inmediatamente.