CVE-2022-33077

nopCommerce 4.50.2 tiene un fallo de control de acceso roto: el endpoint addressedit no verifica correctamente la propiedad, de modo que un atacante puede modificar la dirección de cualquier cliente, no solo la propia. Este es un clásico insecure-direct-object-reference —el endpoint confía en un identificador sin verificar que el solicitante sea dueño del registro objetivo— y en una plataforma de comercio electrónico significa que un cliente autenticado puede manipular los datos de dirección almacenados de otros clientes.

El impacto está acotado a la integridad de los registros de direcciones de los clientes, lo cual es significativo pero limitado: sin ejecución de código, sin volcado masivo de datos, sin toma de control de cuentas por sí solo. El abuso realista es un usuario con sesión iniciada manipulando los detalles de envío de otros, lo que podría habilitar fraude (redirigir pedidos) o ser un problema de molestia o de integridad de datos a escala. Es autenticado y de un solo registro a la vez, que es por qué se sitúa en alta-pero-no-crítica; el valor para un atacante depende de cuánto confíe el cumplimiento de pedidos en esos datos de dirección aguas abajo.

Nuestro enfoque es sopesar el potencial de fraude derivado y la exposición de la plataforma. Donde nopCommerce 4.50.2 ejecute una tienda en vivo, priorizaríamos según si los cambios de dirección alimentan directamente los flujos de envío o de pago que un atacante podría redirigir, e impulsaríamos la actualización a una versión corregida. Los fallos de IDOR también viajan en manada, así que encontrar una verificación de propiedad rota es un aliciente para revisar los endpoints hermanos en busca de la misma autorización faltante y, donde tengamos registro de solicitudes, para vigilar una cuenta que edite direcciones ligadas a los ID de otros clientes como firma de abuso.