Ni WooCommerce Order Export <= 3.1.6 - Cross-Site Request Forgery to Settings Update via ni_order_export_action AJAX Action

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Ni WooCommerce Order Export hasta la versión 3.1.6. Esta falla permite la actualización no autorizada de configuraciones, lo que puede comprometer la seguridad operativa del sitio web.

Contexto técnico

El fallo se presenta a través de la acción AJAX 'ni_order_export_action', que no valida adecuadamente las solicitudes, permitiendo a un atacante ejecutar acciones maliciosas en el contexto del usuario autenticado.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la modificación no autorizada de configuraciones, lo que podría afectar la integridad de los datos y la funcionalidad del plugin, generando un impacto negativo en la operación del negocio.

Vector de explotación

Generalmente, se explota mediante la elaboración de solicitudes maliciosas que engañan al usuario autenticado para que realice acciones no deseadas en el plugin.

Mitigación recomendada

Actualizar el plugin Ni WooCommerce Order Export a la versión 3.1.6 o superior. Revisar y ajustar las configuraciones de seguridad relacionadas con las acciones AJAX. Implementar medidas de seguridad adicionales como tokens CSRF en formularios críticos.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales de solicitudes AJAX y cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones de Ni WooCommerce Order Export hasta la 3.1.6 están afectadas. No se han reportado casos de explotación en versiones posteriores.