RIPS Technologies ha descubierto un problema en WordPress y en el plugin de comercio electrónico WooCommerce, creado por Automattic. Según las estadísticas oficiales, esta solución se ha descargado más de cuatro millones de veces y cuenta con aproximadamente el mismo número de instalaciones activas.
Los investigadores explican que aquí hay dos problemas. El primer problema es que, cuando el complemento se instala en WordPress, que utiliza diferentes roles para los usuarios, no crea su propio sistema de autenticación, sino que utiliza el sistema de privilegios del CMS existente. Para ello, el complemento crea un nuevo rol con las nuevas funciones de WordPress y luego limita su interacción con la configuración del CMS y con otros usuarios mediante sus propias funciones.
Así, al instalar WooCommerce, se crea un nuevo rol para el Shop Manager («store manager»), que dispone de los derechos edit_users. Esta autorización permite al usuario modificar las publicaciones y los perfiles de cualquier otro usuario de WordPress, incluido el administrador.
Parece que los desarrolladores de WooCommerce proporcionaron una función que impide que los usuarios con este rol interfieran con los perfiles de los administradores. Pero debido a un defecto en el funcionamiento del sistema de gestión de privilegios de los complementos, cuando WooCommerce se desactiva, la función de restricción de los «gestores de tienda» deja de funcionar y los usuarios con este rol pueden modificar libremente las cuentas de otros usuarios.
Por consiguiente, la única forma fiable de desactivar el complemento es desactivarlo desde el administrador y eliminar todos sus archivos. Y aquí está el segundo problema.
El caso es que los analistas de RIPS Technologies descubrieron un error relacionado con la eliminación de archivos de WooCommerce en la versión 3.4.5 y anteriores. Resulta que los usuarios con derechos de Shop Manager pueden eliminar cualquier archivo del complemento, incluidos los esenciales para su funcionamiento. Posteriormente, el complemento dejará de funcionar de manera previsible, WordPress lo desactivará automáticamente y la situación volverá a la anterior, cuando un usuario con el rol de gestor de tienda puede modificar los perfiles de cualquier usuario.
Los investigadores explican que, en una situación así, el atacante no tendrá dificultad para apoderarse de la cuenta de administrador y, por tanto, controlar todo el sitio. El video que aparece a continuación ilustra una combinación de los dos problemas del caso.
Los expertos señalan que, para poder utilizar este sistema con éxito, un atacante debe tener acceso a una cuenta con el rol de gestor de tienda. Sin embargo, según los investigadores, esto es factible mediante vulnerabilidades XSS o ataques de phishing.
Los desarrolladores de WooCommerce ya eliminaron el problema al publicar una nueva versión del complemento ( 3.4.6 ). Como la actualización automática de los complementos no está incluida en absoluto, los expertos recomiendan a los usuarios buscar actualizaciones y asegurarse de que funcionan con las últimas versiones de WooCommerce.
