Fuente base de datos: Wordfence Intelligence

Colissimo Officiel : Méthodes de livraison pour WooCommerce <= 2.9.0 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Order Shipment Modification via lpc_order_affect AJAX action en Colissimo Shipping Methods FOR Woocommerce - version 2.10.0

PLUGIN MEDIUM CVE-2026-9240

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Colissimo para WooCommerce que permite a usuarios autenticados modificar envíos de pedidos de forma arbitraria. Esta falla, con un nivel de severidad medio, puede comprometer la integridad de los pedidos y afectar la confianza del cliente.

Contexto técnico

El fallo se encuentra en la acción AJAX 'lpc_order_affect', que no implementa correctamente las autorizaciones necesarias para usuarios autenticados con rol de suscriptor o superior. Esto permite que un atacante modifique los envíos de pedidos sin los permisos adecuados.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en alteraciones no autorizadas de pedidos, afectando la logística y la satisfacción del cliente. Esto puede llevar a pérdidas económicas y daños a la reputación de la tienda online.

Vector de explotación

Un atacante autenticado puede enviar solicitudes manipuladas a la acción AJAX para modificar detalles de envío de pedidos sin tener los permisos requeridos.

Mitigación recomendada

Actualizar el plugin Colissimo para WooCommerce a la versión 2.10.0 o superior. Revisar y ajustar las configuraciones de permisos de usuario en la tienda. Implementar medidas de monitoreo para detectar accesos no autorizados.

Señales de detección

Revisar los registros de acceso para identificar solicitudes inusuales a la acción 'lpc_order_affect' y cambios no autorizados en los pedidos.

Alcance afectado

Las versiones del plugin Colissimo para WooCommerce hasta la 2.9.0 están afectadas. No se han confirmado casos en versiones posteriores a la 2.10.0.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

ecommerce-user-profiles-by-profilegrid

Memberships and User Profiles for WooCommerce <= 3.4 - Missing Authorization to Authenticated (Subscriber+) ProfileGrid Plugin Installation and Activation

MEDIUM PLUGIN

corvuspay-woocommerce-integration

CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Unauthenticated Improper Verification of Cryptographic Signature to Payment Bypass via /wp-json/corvuspay/success/ REST Endpoint

MEDIUM PLUGIN

corvuspay-woocommerce-integration

CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Missing Authorization to Unauthenticated Arbitrary Order Cancellation via 'order_number' Parameter

MEDIUM PLUGIN

dhlpwc

DHL eCommerce (Benelux) for WooCommerce <= 2.2.3 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Shipping Label Creation and Deletion via dhlpwc_label_create and dhlpwc_label_delete AJAX Actions

HIGH PLUGIN

widget-logic-visual

Widget Logic Visual <= 1.52 - Authenticated (Subscriber+) Remote Code Execution via 'nwlv[cod-tag]' Parameter

MEDIUM PLUGIN

bulk-order-update-for-woocommerce

Bulk Order Update for WooCommerce <= 1.6 - Unauthenticated Arbitrary File Read via 'csv_url' Parameter

HIGH PLUGIN

wc-multivendor-membership

WCFM - WooCommerce Multivendor Membership <= 2.11.10 - Insecure Direct Object Reference to Limited Privilege Escalation via User Role Overwrite

CRITICAL PLUGIN

wpfunnels

WPFunnels <= 3.12.7 - Unauthenticated Remote Code Execution via 'postData' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto