Wallet System for WooCommerce – Digital Wallet, Buy Now Pay Later (BNPL), Instant Cashback, Referral program, Partial & Subscription Payments <= 2.7.6 - Missing Authorization - version 2.7.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código (RCE) en el plugin Wallet System for WooCommerce, afectando a las versiones hasta 2.7.6. Esta falla puede permitir a un atacante ejecutar código malicioso, comprometiendo la seguridad de la tienda online.

Contexto técnico

La vulnerabilidad se encuentra en el componente Wallet System for WooCommerce, específicamente en la falta de autorización adecuada para ciertas operaciones. Esto permite que un atacante no autenticado envíe peticiones maliciosas que pueden ser procesadas por el servidor.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código en el servidor, lo que podría resultar en la pérdida de datos, alteración de la funcionalidad del sitio y daños a la reputación del negocio. La severidad se clasifica como media, con un CVSS score de 4.3.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante el envío de peticiones HTTP manipuladas que el servidor acepta sin la debida autorización, facilitando así la ejecución de código malicioso.

Mitigación recomendada

Actualizar el plugin Wallet System for WooCommerce a la versión 2.7.7 o superior. Revisar y reforzar las configuraciones de seguridad del servidor para limitar el acceso no autorizado. Monitorear el tráfico de red en busca de peticiones inusuales que puedan indicar intentos de explotación.

Señales de detección

Señales a tener en cuenta incluyen logs de acceso que muestren patrones inusuales de peticiones al plugin y cualquier intento de ejecución de scripts no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.7.7. No se ha confirmado el impacto en versiones posteriores.