CURCY <= 2.1.25 - Missing Authorization to Currency Exchange Retrieval

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin CURCY, versión 2.1.25, que permite la recuperación de tipos de cambio sin la debida autorización. Esta vulnerabilidad tiene una severidad media y podría comprometer la seguridad de las transacciones monetarias en sitios web que utilicen este plugin.

Contexto técnico

El fallo se produce por la falta de controles de autorización adecuados en el proceso de recuperación de tipos de cambio, lo que permite a usuarios no autorizados acceder a información sensible relacionada con las transacciones monetarias.

Impacto potencial

El impacto potencial incluye la exposición de datos financieros y la posibilidad de manipulación de precios, lo que podría llevar a pérdidas económicas significativas y a la pérdida de confianza por parte de los clientes en la plataforma.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad enviando solicitudes maliciosas para acceder a los tipos de cambio sin la autorización necesaria, afectando así la integridad de las operaciones financieras.

Mitigación recomendada

Actualizar el plugin CURCY a la versión 2.1.26 o superior para corregir la vulnerabilidad. Además, se recomienda revisar las configuraciones de seguridad y los permisos de usuario relacionados con las operaciones de cambio de divisas.

Señales de detección

Señales de posible explotación incluyen registros de acceso no autorizados a la API de tipos de cambio o actividad inusual en las transacciones financieras del sitio.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones que utilicen CURCY en la versión 2.1.25 y anteriores. La versión 2.1.26 ya contiene la corrección necesaria.