Wishlist Member X <= 3.34.1 - Unauthenticated Account Takeover via 'mergewith' Parameter (vulnerabilidad) - version 3.34.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Wishlist Member X, que permite la toma de control de cuentas sin necesidad de autenticación a través del parámetro 'mergewith'. Esto puede comprometer gravemente la seguridad de las cuentas de usuario y la integridad del sitio web.

Contexto técnico

El fallo se encuentra en el plugin Wishlist Member X en versiones hasta la 3.34.1. Los atacantes pueden explotar el parámetro 'mergewith' para eludir la autenticación, lo que les permite acceder a cuentas de usuario sin credenciales válidas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la pérdida de datos sensibles y la manipulación de cuentas de usuario, lo que afecta la confianza de los usuarios y puede tener repercusiones legales y financieras para el negocio.

Vector de explotación

La explotación se realiza enviando solicitudes manipuladas que utilizan el parámetro 'mergewith' para eludir los controles de autenticación del plugin.

Mitigación recomendada

Actualizar el plugin Wishlist Member X a la versión 3.34.2 o superior para corregir la vulnerabilidad. Realizar una auditoría de las cuentas afectadas para identificar accesos no autorizados. Implementar medidas de seguridad adicionales, como la autenticación de dos factores para las cuentas de usuario.

Señales de detección

Revisar los logs de acceso en busca de intentos inusuales de acceso a cuentas y solicitudes que incluyan el parámetro 'mergewith'.

Alcance afectado

Las versiones del plugin Wishlist Member X hasta la 3.34.1 están afectadas. No se ha confirmado el impacto en versiones posteriores a la 3.34.2.