Dealia – Request a quote <= 1.0.7 - Missing Authorization to Authenticated (Contributor+) Plugin Configuration Reset

Resumen ejecutivo

Se ha identificado una vulnerabilidad de nivel medio en el plugin 'Dealia – Request a quote' en versiones hasta la 1.0.7. Esta falla permite la reconfiguración de la configuración del plugin sin la autorización adecuada para usuarios autenticados con rol de contribuidor o superior.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en las funciones del plugin que permiten la modificación de su configuración. Esto expone la superficie de ataque a usuarios que, aunque autenticados, no deberían tener acceso a estas funciones críticas.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios no autorizados alteren la configuración del plugin, lo que podría llevar a la manipulación de las solicitudes de cotización y a la pérdida de confianza de los clientes, afectando así la reputación y la seguridad del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza a través de la manipulación de las solicitudes HTTP enviadas al servidor, donde un usuario autenticado puede intentar acceder a las funciones de configuración del plugin sin los permisos adecuados.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.0.8 o superior, donde se ha corregido la vulnerabilidad. Además, es aconsejable revisar los permisos de los roles de usuario y aplicar controles de acceso más estrictos.

Señales de detección

Las señales de posible explotación incluyen cambios inesperados en la configuración del plugin y registros de acceso de usuarios autenticados que intentan modificar configuraciones sin los permisos correspondientes.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Dealia – Request a quote' hasta la 1.0.7. Las instalaciones que no han actualizado a la versión 1.0.8 o superior son vulnerables.