YayMail <= 4.3.2 - Missing Authorization to Authenticated (Shop Manager+) Arbitrary Options Update via 'yaymail_import_state' AJAX Action

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin YayMail, que permite a usuarios autenticados con privilegios de Shop Manager o superiores actualizar opciones arbitrarias sin la debida autorización. Esta falla afecta a las versiones hasta la 4.3.2 y ha sido corregida en la versión 4.3.3.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en la acción AJAX 'yaymail_import_state', lo que permite a usuarios no autorizados modificar configuraciones del plugin. Esto expone la superficie de ataque a usuarios con privilegios inadecuados, facilitando la manipulación de opciones críticas.

Impacto potencial

El impacto puede ser significativo, ya que un atacante podría alterar configuraciones del plugin, potencialmente comprometiendo la funcionalidad del sitio y la seguridad de los datos. Esto podría resultar en pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes AJAX maliciosas a la acción 'yaymail_import_state' mientras están autenticados como Shop Manager o con roles superiores, lo que les permite realizar cambios no autorizados.

Mitigación recomendada

Se recomienda actualizar el plugin YayMail a la versión 4.3.3 o superior de inmediato. Además, se sugiere revisar los permisos de los roles de usuario y aplicar prácticas de hardening en la gestión de usuarios y sus privilegios.

Señales de detección

Se deben monitorizar los registros de acceso para detectar solicitudes AJAX inusuales o cambios en la configuración del plugin que no correspondan a acciones legítimas de usuarios autorizados.

Alcance afectado

Las versiones del plugin YayMail hasta la 4.3.2 están afectadas. Es crucial que todos los sitios que utilicen este plugin verifiquen su versión y apliquen la actualización correspondiente.