WooCommerce soluciona vulnerabilidad crítica

WooCommerce corrige falla crítica de complemento que afecta a medio millón de sitios.

Una importante vulnerabilidad fue descubierta en el complemento WooCommerce de WordPress, que podría permitir a un atacante no autenticado obtener privilegios administrativos y tomar el control de un sitio web. Expertos en seguridad de WordPress en Wordfence descubrieron esta omisión de autenticación crítica y la describieron en una publicación de blog.

Ram Gall, investigador principal de amenazas en Wordfence, explicó cómo su equipo encontró la vulnerabilidad después de analizar la versión 5.6.2 del complemento WooCommerce, lanzada el mismo día del descubrimiento. Después de revisar la actualización, el equipo de Wordfence determinó que eliminó el código vulnerable que permitía a un atacante no autenticado hacerse pasar por un administrador y tomar el control completo de un sitio web sin necesidad de interacción del usuario o ingeniería social.

Aunque la entrada del registro de cambios del complemento 5.6.2 solo mostraba "Actualización de seguridad", Wordfence advierte a los usuarios que actualicen a la última versión de WooCommerce Payments, que es 5.6.2. El complemento está instalado en más de 500,000 sitios, por lo que esta es una vulnerabilidad crítica.

Gall también aclaró que el equipo de Wordfence no sabe si esta falla fue descubierta internamente por Automattic, el desarrollador detrás de WooCommerce, o reportada por un investigador externo. Aunque Wordfence aún no ha encontrado instancias de la vulnerabilidad que se esté explotando en la naturaleza, advierten que podrían ver ataques a gran escala una vez que se publique una prueba de concepto.

Esta falla crítica se produce meses después de que los investigadores de seguridad de Sucuri detectaran una campaña de malware diseñada para aumentar la clasificación en los motores de búsqueda de más de 15,000 sitios de spam de WordPress y otros. Por lo tanto, es importante que los usuarios actualicen su complemento de WooCommerce de inmediato para evitar cualquier tipo de amenaza de seguridad en el futuro.