WooCommerce Eway Gateway <= 3.5.0 - Insecure Direct Object Reference

Resumen ejecutivo

La vulnerabilidad en el plugin WooCommerce Eway Gateway, presente en versiones hasta la 3.5.0, permite referencias inseguras a objetos, lo que podría comprometer la seguridad de la instalación. Se recomienda actualizar a la versión 3.5.1 para mitigar este riesgo.

Contexto técnico

Este fallo se relaciona con una referencia insegura a objetos (IDOR) que permite a un atacante acceder a recursos no autorizados. La superficie de ataque se centra en las funciones de gestión de pagos del plugin, donde se pueden manipular las solicitudes para acceder a datos sensibles.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante obtener información confidencial o realizar acciones no autorizadas en nombre de otros usuarios, afectando tanto la integridad de los datos como la confianza de los clientes en la plataforma.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad manipulando parámetros en las solicitudes HTTP dirigidas a las funciones del plugin, lo que les permitiría acceder a objetos que no deberían estar disponibles.

Mitigación recomendada

Actualizar inmediatamente el plugin WooCommerce Eway Gateway a la versión 3.5.1. Además, se recomienda revisar los permisos de acceso a los recursos y realizar auditorías de seguridad periódicas.

Señales de detección

Señales de riesgo incluyen intentos inusuales de acceso a recursos o datos que no corresponden a la sesión del usuario, así como logs de errores que indiquen accesos no autorizados.

Alcance afectado

Las versiones del plugin WooCommerce Eway Gateway hasta la 3.5.0 son susceptibles a esta vulnerabilidad. Las instalaciones que no han actualizado a la versión 3.5.1 están en riesgo.