Order Delivery Date for WooCommerce <= 4.6.0 - Authenticated (Shop Manager+) Privilege Escalation - version 4.6.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de escalada de privilegios en el plugin 'Order Delivery Date for WooCommerce' en versiones anteriores a 4.6.1. Esta falla permite a usuarios autenticados con privilegios de Shop Manager acceder a funcionalidades no autorizadas, lo que puede comprometer la seguridad del sitio.

Contexto técnico

El fallo se encuentra en la gestión de permisos dentro del plugin, permitiendo a un usuario autenticado con rol de Shop Manager ejecutar acciones que normalmente están restringidas. Esto se traduce en un vector de ataque que puede ser explotado directamente desde el panel de administración de WooCommerce.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante con privilegios de Shop Manager realizar acciones no autorizadas, lo que pone en riesgo la integridad de los datos y la operativa del negocio. La severidad del fallo, clasificada como alta (CVSS 7.2), indica un potencial impacto significativo en la seguridad del sitio.

Vector de explotación

Los atacantes suelen aprovechar la vulnerabilidad accediendo al panel de administración con credenciales de Shop Manager y ejecutando funciones que no deberían estar a su alcance.

Mitigación recomendada

Actualizar el plugin 'Order Delivery Date for WooCommerce' a la versión 4.6.1 o superior. Revisar los permisos asignados a los usuarios con rol de Shop Manager. Implementar auditorías regulares de seguridad en el sitio para detectar accesos no autorizados.

Señales de detección

Señales a observar incluyen cambios inusuales en la configuración del plugin, accesos no autorizados en los registros de actividad y modificaciones en los pedidos gestionados por Shop Managers.

Alcance afectado

Las versiones afectadas son todas aquellas anteriores a la 4.6.1. No se han confirmado casos en versiones posteriores.