Fuente base de datos: Wordfence Intelligence

Colissimo Officiel : Méthodes de livraison pour WooCommerce <= 2.9.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Order Shipment Modification via lpc_order_affect AJAX action en Colissimo Shipping Methods FOR Woocommerce - version 2.10.0

PLUGIN MEDIUM CVE-2026-9240

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Colissimo para WooCommerce que permite a usuarios autenticados modificar envíos de pedidos de forma arbitraria. Esta falla, con un nivel de severidad medio, puede comprometer la integridad de los pedidos y afectar la confianza del cliente.

Contexto técnico

El fallo se encuentra en la acción AJAX 'lpc_order_affect', que no implementa correctamente las autorizaciones necesarias para usuarios autenticados con rol de suscriptor o superior. Esto permite que un atacante modifique los envíos de pedidos sin los permisos adecuados.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en alteraciones no autorizadas de pedidos, afectando la logística y la satisfacción del cliente. Esto puede llevar a pérdidas económicas y daños a la reputación de la tienda online.

Vector de explotación

Un atacante autenticado puede enviar solicitudes manipuladas a la acción AJAX para modificar detalles de envío de pedidos sin tener los permisos requeridos.

Mitigación recomendada

Actualizar el plugin Colissimo para WooCommerce a la versión 2.10.0 o superior. Revisar y ajustar las configuraciones de permisos de usuario en la tienda. Implementar medidas de monitoreo para detectar accesos no autorizados.

Señales de detección

Revisar los registros de acceso para identificar solicitudes inusuales a la acción 'lpc_order_affect' y cambios no autorizados en los pedidos.

Alcance afectado

Las versiones del plugin Colissimo para WooCommerce hasta la 2.9.0 están afectadas. No se han confirmado casos en versiones posteriores a la 2.10.0.

Vulnerabilidades relacionadas

HIGH PLUGIN

templately

Templately <= 3.7.1 - Authenticated (Contributor+) Arbitrary File Upload to Remote Code Execution via Gutenberg Cloud Import Attachment Filename Mismatch

MEDIUM PLUGIN

wp-event-solution

Eventin – Event Calendar, Tickets, Registration, Booking & WooCommerce < 4.1.20 - Authenticated (Contributor+) Information Exposure

MEDIUM PLUGIN

wp-event-solution

Eventin – Event Calendar, Tickets, Registration, Booking & WooCommerce < 4.1.20 - Authenticated (Contributor+) Information Exposure

MEDIUM PLUGIN

revolut-gateway-for-woocommerce

Revolut Gateway for WooCommerce < 4.22.10 - Missing Authorization

HIGH WORDPRESS

wp-core

WordPress Core <= 7.0.3 - Authenticated (Author+) Remote Code Execution via Malicious File Upload

CRITICAL PLUGIN

qa-heatmap-analytics

QA Assistants – Driven by data <= 5.2.0.0 - Unauthenticated Remote Code Execution

CRITICAL PLUGIN

wp-base-booking-of-appointments-services-and-events

WP BASE Booking of Appointments, Services and Events <= 6.3.0 - Unauthenticated Remote Code Execution

HIGH PLUGIN

colissimo-shipping-methods-for-woocommerce

Colissimo shipping methods for WooCommerce <= 2.10.0 - Unauthenticated Stored Cross-Site Scripting

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto