MyRewards – Loyalty Points and Rewards for WooCommerce <= 5.6.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Loyalty Rule Modification

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin MyRewards para WooCommerce, que permite a usuarios autenticados con rol de suscriptor o superior modificar reglas de lealtad arbitrarias. Este fallo, clasificado como de severidad media, afecta a las versiones hasta la 5.6.1 y ha sido corregido en la versión 5.7.0.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada, lo que permite a los usuarios con permisos limitados realizar modificaciones no autorizadas en las reglas de lealtad del sistema. Esto representa un riesgo en la gestión de recompensas y puntos en WooCommerce.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados alterar los beneficios de lealtad, lo que podría afectar la confianza del cliente y la integridad del sistema de recompensas. Esto podría resultar en pérdidas económicas y en la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante la manipulación de las solicitudes a la API del plugin, permitiendo a los atacantes modificar las reglas de lealtad sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin MyRewards a la versión 5.7.0 o superior. Además, se debe revisar la configuración de permisos de usuario y considerar implementar controles adicionales de autorización.

Señales de detección

Señales de riesgo incluyen cambios inesperados en las reglas de lealtad o en los puntos de recompensa, así como accesos no autorizados a la administración del plugin por parte de usuarios con rol de suscriptor.

Alcance afectado

Las versiones afectadas son todas las que están por debajo de la 5.7.0 del plugin MyRewards. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión.