Automattic, los editores del complemento WooCommerce, anunciaron el descubrimiento y parcheo de una vulnerabilidad crítica en el complemento WooCommerce Payments.
La vulnerabilidad permite que un atacante obtenga credenciales de nivel de administrador y realice una toma de control completa del sitio.
Admin es el rol de usuario de mayor permiso en WordPress, que brinda acceso completo a un sitio de WordPress con la capacidad de crear múltiples cuentas de nivel de administrador, así como la capacidad de eliminar todo el sitio.
Lo que hace que esta vulnerabilidad en particular sea motivo de gran preocupación es que está disponible para atacantes no autenticados, lo que significa que no necesitan obtener primero otro permiso para manipular el sitio y obtener un rol de usuario de nivel de administrador.
El fabricante de complementos de seguridad de WordPress, Wordfence, describió esta vulnerabilidad:
“Después de revisar la actualización, descubrimos que eliminó el código vulnerable que podría permitir que un atacante no autenticado se haga pasar por un administrador y tome el control total de un sitio web sin requerir la interacción del usuario o la ingeniería social”.
La plataforma de seguridad de sitios web Sucuri ha publicado una advertencia sobre la vulnerabilidad que entra en más detalles.
Sucuri explica que la vulnerabilidad parece estar en el siguiente archivo:
/wp-content/plugins/woocommerce-payments/includes/platform-checkout/class-platform-checkout-session.php
También explicaron que el “arreglo” aplicado por Automattic es eliminar el archivo.
Sucuri observa:
“Según el historial de cambios del complemento, parece que el archivo y su funcionalidad se eliminaron por completo…”
El sitio de WooCommerce publicó un aviso que explica por qué eligieron eliminar el archivo afectado por completo:
“Debido a que esta vulnerabilidad también tenía el potencial de afectar a WooPay, un nuevo servicio de finalización de pagos en prueba beta, hemos desactivado temporalmente el programa beta”.
La vulnerabilidad del complemento de pago de WooCommerce fue descubierta el 22 de marzo de 2023 por un investigador de seguridad externo que notificó a Automattic.
Automattic rápidamente emitió un parche.
Los detalles de la vulnerabilidad se publicarán el 6 de abril de 2023.
Esto significa que cualquier sitio web que no haya actualizado este complemento se volverá vulnerable.
Contenido del Articulo
¿Qué versión del complemento WooCommerce Payments es vulnerable?
WooCommerce ha actualizado el complemento a la versión 5.6.2. Esta se considera la versión más actualizada y no vulnerable del sitio.
Automattic ha lanzado una actualización forzada, pero es posible que algunos sitios no la hayan recibido.
Se recomienda a todos los usuarios del complemento afectado que verifiquen que sus instalaciones se hayan actualizado a la versión 5.6.2 del complemento de pagos de WooCommerce.
Una vez que se haya reparado la vulnerabilidad, WooCommerce recomienda que realice las siguientes acciones:
“Una vez que esté ejecutando una compilación segura, le recomendamos que verifique si hay usuarios administradores inesperados o publicaciones en su sitio. Si encuentra evidencia de actividad inesperada, le recomendamos:
Actualice las contraseñas de los usuarios administradores de su sitio, especialmente si reutilizan las mismas contraseñas en varios sitios.
Cambie las claves API de WooCommerce y Payment Gateway utilizadas en su sitio. Aquí le mostramos cómo actualizar sus claves API de WooCommerce. Para restablecer otras claves, consulte la documentación de esos complementos o servicios específicos”.
Lea la explicación de la vulnerabilidad de WooCommerce:
Vulnerabilidad crítica en los pagos de WooCommerce solucionada: lo que necesita saber
