Se ha revelado una falla de seguridad cr\u00edtica en el complemento de WordPress “Abandoned Cart Lite for WooCommerce” que es instalado<\/a> en m\u00e1s de 30.000 sitios web.<\/p>\n “Esta vulnerabilidad hace posible que un atacante obtenga acceso a las cuentas de los usuarios que han abandonado sus carritos, que suelen ser clientes pero que pueden extenderse a otros usuarios de alto nivel cuando se cumplen las condiciones adecuadas”, Wordfence de Defiant. dicho<\/a> en un aviso.<\/p>\n Rastreada como CVE-2023-2986, la deficiencia ha sido calificada con 9.8 de 10 por gravedad en el sistema de puntuaci\u00f3n CVSS. Afecta a todas las versiones del complemento, incluidas y anteriores a las versiones 5.14.2.<\/p>\n El problema, en esencia, es un caso de omisi\u00f3n de autenticaci\u00f3n que surge como resultado de protecciones de cifrado insuficientes que se aplican cuando se notifica a los clientes cuando han abandonado sus carritos de compras en sitios de comercio electr\u00f3nico sin completar la compra.<\/p>\n Espec\u00edficamente, la clave de cifrado est\u00e1 codificada en el complemento, lo que permite a los actores maliciosos iniciar sesi\u00f3n como un usuario con un carrito abandonado.<\/p>\n “Sin embargo, existe la posibilidad de que al explotar la vulnerabilidad de omisi\u00f3n de autenticaci\u00f3n, un atacante pueda obtener acceso a una cuenta de usuario administrativo u otra cuenta de usuario de nivel superior si ha estado probando la funcionalidad del carrito abandonado”, dijo el investigador de seguridad Istv\u00e1n M\u00e1rton.<\/p>\n Luego de la divulgaci\u00f3n responsable el 30 de mayo de 2023, el desarrollador del complemento, Tyche Softwares, abord\u00f3 la vulnerabilidad el 6 de junio de 2023 con la versi\u00f3n 5.15.0. La versi\u00f3n actual de Abandoned Cart Lite para WooCommerce es 5.15.2.<\/p>\n La divulgaci\u00f3n se produce cuando Wordfence revel\u00f3 otra falla de omisi\u00f3n de autenticaci\u00f3n que afecta el complemento “Calendario de reservas | Reserva de citas | BookIt” de StylemixThemes (CVE-2023-2834, puntaje CVSS: 9.8) que tiene m\u00e1s de 10,000 instalaciones de WordPress<\/a>.<\/p>\n “Esto se debe a una verificaci\u00f3n insuficiente del usuario que se proporciona durante la reserva de una cita a trav\u00e9s del complemento”, M\u00e1rton explicado<\/a>. “Esto hace posible que los atacantes no autenticados inicien sesi\u00f3n como cualquier usuario existente en el sitio, como un administrador, si tienen acceso al correo electr\u00f3nico”.<\/p>\n La falla, que afectaba a las versiones 2.3.7 y anteriores, se solucion\u00f3 en la versi\u00f3n 2.3.8, que se lanz\u00f3 el 13 de junio de 2023.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/Nueva-campana-de-malware-que-aprovecha-Satacom-Downloader-para-robar.png\")
<\/a><\/center><\/div>\n