Fuente base de datos: Wordfence Intelligence

FOX – Currency Switcher Professional for WooCommerce <= 1.4.6 - Authenticated (Subscriber+) Authorization Bypass via User-Controlled Key to 'wooc_order_user_roles' Parameter en Woocommerce Currency Switcher - version 1.4.7

PLUGIN MEDIUM CVE-2026-9241

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'FOX – Currency Switcher Professional for WooCommerce' que permite un bypass de autorización para usuarios autenticados. Este fallo puede comprometer la integridad de los roles de usuario, afectando la seguridad operativa del sitio.

Contexto técnico

El fallo se presenta en versiones del plugin hasta la 1.4.6 y permite a usuarios con rol de 'Subscriber' acceder a privilegios no autorizados mediante la manipulación del parámetro 'wooc_order_user_roles'. Esto expone la superficie de ataque a usuarios autenticados que pueden explotar la vulnerabilidad.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante escalar privilegios, lo que podría resultar en la modificación no autorizada de datos y un posible acceso a información sensible. Esto puede afectar la confianza del cliente y la reputación del negocio.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes manipuladas que alteran el comportamiento del sistema de roles de usuario, permitiendo a un atacante cambiar su nivel de acceso.

Mitigación recomendada

Actualizar el plugin a la versión 1.4.7 o superior para corregir la vulnerabilidad. Revisar los registros de acceso para identificar cualquier actividad sospechosa relacionada con cambios de roles de usuario. Implementar controles adicionales de acceso para limitar los privilegios de los usuarios según sea necesario.

Señales de detección

Señales de alerta incluyen cambios inusuales en los roles de usuario en los registros, así como intentos fallidos de acceso a áreas restringidas del sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.7 del plugin. No se han confirmado casos en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

woocommerce-currency-switcher