Fuente base de datos: Wordfence Intelligence

WebToffee Plugins <= (Various Versions) - Arbitrary User Creation

PLUGIN HIGH CVE-2020-12074

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin WebToffee para la importación y exportación de pedidos en WooCommerce, que permite la creación arbitraria de usuarios. Esta vulnerabilidad, catalogada con un CVSS de 8.8, afecta a diversas versiones anteriores a la 1.6.1.

Contexto técnico

El fallo se origina en la falta de validación adecuada en el proceso de creación de usuarios, lo que permite a un atacante no autenticado crear cuentas de usuario en el sistema. La superficie de ataque se centra en las funciones del plugin que gestionan la importación de datos, donde se pueden enviar peticiones manipuladas para generar nuevos usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la creación de cuentas de usuario no autorizadas, lo que podría llevar a un acceso no controlado a información sensible y a la posibilidad de realizar acciones maliciosas dentro del sitio web. Esto podría comprometer la integridad y la seguridad del negocio, así como la confianza de los clientes.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas a las funciones del plugin que gestionan la creación de usuarios, sin necesidad de autenticación previa. Esto les permite inyectar datos maliciosos y crear cuentas con privilegios no deseados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, es crucial actualizar el plugin WebToffee a la versión 1.6.1 o superior. Además, se recomienda revisar las configuraciones de usuario y aplicar controles de acceso más estrictos para prevenir la creación no autorizada de cuentas.

Señales de detección

Se deben monitorizar registros de actividad inusuales, como intentos de creación de usuarios desde direcciones IP desconocidas o patrones de acceso anómalos que indiquen intentos de explotación de esta vulnerabilidad.

Alcance afectado

Las versiones afectadas del plugin WebToffee son todas las anteriores a la 1.6.1. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y proceder a la actualización necesaria.