WPS Bookings for WooCommerce <= 3.11.6 - Authenticated (Subscriber+) Insecure Direct Object Reference to Booking Order Cancellation en MWB Bookings FOR Woocommerce - version 3.11.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad de referencia de objeto inseguro en el plugin WPS Bookings para WooCommerce, afectando a versiones hasta 3.11.6. Este fallo puede permitir a usuarios autenticados cancelar pedidos de reserva sin autorización adecuada, comprometiendo la integridad del sistema.

Contexto técnico

La vulnerabilidad se manifiesta a través de una referencia de objeto inseguro que permite a usuarios con rol de suscriptor o superior ejecutar acciones no autorizadas sobre pedidos de reserva. La exposición se produce cuando se accede a funciones de cancelación de pedidos sin las validaciones necesarias.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que permite la manipulación no autorizada de reservas, lo que puede resultar en pérdidas económicas y daños a la reputación. La seguridad del sistema se ve comprometida, aumentando el riesgo de abusos por parte de usuarios malintencionados.

Vector de explotación

La explotación se realiza mediante el envío de solicitudes manipuladas a las funciones de cancelación de reservas del plugin, aprovechando la falta de controles de acceso adecuados.

Mitigación recomendada

Actualizar el plugin WPS Bookings para WooCommerce a la versión 3.11.7 o superior. Revisar los permisos de usuario y roles asignados en la instalación de WooCommerce. Implementar medidas de seguridad adicionales, como la validación de entradas y la auditoría de acciones de usuarios.

Señales de detección

Señales a observar incluyen registros de cancelaciones de reservas realizadas por usuarios no autorizados y cambios inusuales en el estado de los pedidos de reserva.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.11.7. No se han confirmado casos en versiones posteriores o en configuraciones específicas que no utilicen el plugin.