TeraWallet – For WooCommerce <= 1.5.15 - Authenticated (Customer+) Race Condition en WOO Wallet - version 1.5.16

Resumen ejecutivo

Se ha identificado una vulnerabilidad de condición de carrera en el plugin TeraWallet para WooCommerce, que afecta a versiones hasta la 1.5.15. Esta debilidad permite la ejecución remota de código, lo que puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se manifiesta en el plugin TeraWallet, permitiendo que usuarios autenticados (clientes) exploten una condición de carrera. Esto ocurre cuando múltiples procesos intentan acceder y modificar el mismo recurso simultáneamente, lo que puede resultar en comportamientos inesperados.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la ejecución de código malicioso en el servidor, lo que podría llevar a la pérdida de datos o a la alteración de la funcionalidad del sitio. Esto afecta la confianza del cliente y puede resultar en pérdidas económicas.

Vector de explotación

El vector de explotación implica que un usuario autenticado manipule las peticiones de forma sincronizada para desencadenar la condición de carrera, permitiendo la ejecución de código no autorizado.

Mitigación recomendada

Actualizar el plugin TeraWallet a la versión 1.5.16 o superior. Revisar los registros de actividad para identificar accesos inusuales. Implementar controles de acceso más estrictos para usuarios autenticados.

Señales de detección

Señales de riesgo incluyen múltiples intentos de acceso a recursos críticos por parte de un mismo usuario en un corto periodo de tiempo, así como cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.5.16. No se han confirmado casos en versiones posteriores.