Trust Payments Gateway (3DS2) <= 1.2.0 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Trust Payments Gateway (3DS2) en versiones anteriores a la 1.2.1. Esta vulnerabilidad presenta un alto nivel de severidad, con un CVSS de 8.8.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante ejecutar acciones no autorizadas en nombre de un usuario autenticado. La superficie de ataque se centra en las interacciones del plugin con formularios y solicitudes HTTP.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de las transacciones y la integridad de los datos del usuario, lo que podría resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas a través de formularios manipulados o enlaces engañosos que inducen a los usuarios a hacer clic sin su conocimiento.

Mitigación recomendada

Se recomienda actualizar el plugin Trust Payments Gateway (3DS2) a la versión 1.2.1 o superior. Además, se deben implementar medidas de seguridad adicionales como la verificación de tokens CSRF en formularios y la educación a los usuarios sobre los riesgos de clics en enlaces no verificados.

Señales de detección

Señales de riesgo incluyen actividades inusuales en las transacciones, cambios inesperados en la configuración del plugin y registros de solicitudes sospechosas en el servidor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.2.1 del plugin Trust Payments Gateway (3DS2).