GiveWP <= 2.33.3 - Cross-Site Request Forgery to Stripe Integration Deletion

Resumen ejecutivo

La vulnerabilidad identificada en GiveWP hasta la versión 2.33.3 permite la eliminación de integraciones de Stripe a través de un ataque de Cross-Site Request Forgery (CSRF). Este fallo tiene una gravedad media, con una puntuación CVSS de 5.4.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, lo que permite a un atacante ejecutar acciones no autorizadas en nombre de un usuario autenticado. La superficie de ataque se centra en la interacción con la integración de Stripe dentro del plugin GiveWP.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la eliminación no intencionada de integraciones de pago, lo que podría afectar la capacidad de recibir donaciones a través de Stripe, impactando negativamente en los ingresos y la reputación de la organización.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a un usuario autenticado que tenga acceso al panel de administración, lo que resulta en la ejecución de acciones no deseadas sin su consentimiento.

Mitigación recomendada

Actualizar el plugin GiveWP a la versión 2.33.4 o superior para corregir la vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales como la verificación de tokens CSRF en las solicitudes críticas.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en las integraciones de Stripe, así como registros de actividad inusual en el panel de administración que puedan indicar la ejecución de solicitudes no autorizadas.

Alcance afectado

Las versiones afectadas son todas las versiones de GiveWP hasta la 2.33.3. La versión 2.33.4 y posteriores no están afectadas.