Paytium: Mollie payment forms & donations <= 4.3.7 - Missing Authorization in 'paytium_sw_save_api_keys'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Paytium para WordPress, afectando a las versiones hasta la 4.3.7. Esta debilidad puede comprometer la seguridad de las claves API en el proceso de gestión de pagos y donaciones.

Contexto técnico

La vulnerabilidad se encuentra en la función 'paytium_sw_save_api_keys', donde no se implementa un control de autorización adecuado. Esto permite que usuarios no autorizados puedan guardar claves API, lo que podría llevar a un uso indebido de las mismas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes potenciales acceder y manipular configuraciones críticas del sistema de pagos, afectando la integridad de las transacciones y la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a la API sin la debida autorización, lo que les permite modificar o guardar claves API sin restricciones.

Mitigación recomendada

Se recomienda actualizar el plugin Paytium a la versión 4.4 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar las configuraciones de seguridad y realizar auditorías periódicas de los permisos de usuario.

Señales de detección

Señales de riesgo incluyen intentos de acceso no autorizado a la función de guardado de claves API y cambios inesperados en las configuraciones del plugin.

Alcance afectado

Las versiones del plugin Paytium hasta la 4.3.7 son las afectadas. Los usuarios que no hayan actualizado a la versión 4.4 o superior están en riesgo.