Mercado Pago payments for WooCommerce <= 6.3.1 - Cross-Site Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Mercado Pago para WooCommerce, afectando a versiones hasta la 6.3.1. Esta vulnerabilidad tiene una severidad media con un puntaje CVSS de 4.3.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante enviar peticiones no autorizadas en nombre de un usuario autenticado. La superficie de ataque se centra en la interacción del usuario con el plugin a través de formularios web.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de las transacciones realizadas a través de Mercado Pago, lo que podría resultar en pérdidas económicas y daños a la reputación del negocio afectado.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante técnicas de ingeniería social, induciendo a los usuarios a hacer clic en enlaces maliciosos que ejecutan acciones no deseadas en su nombre.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 6.4.0 o superior. Además, se debe revisar la configuración de seguridad y considerar implementar medidas adicionales de validación en las solicitudes.

Señales de detección

Señales de posible explotación incluyen transacciones inusuales en la plataforma de pago y alertas de actividad sospechosa en los registros del servidor.

Alcance afectado

Las versiones del plugin Mercado Pago para WooCommerce hasta la 6.3.1 están afectadas por esta vulnerabilidad.