Booking Package <= 1.6.27 - Unauthenticated Price Manipulation

Resumen ejecutivo

Se ha identificado una vulnerabilidad de manipulación de precios en el plugin Booking Package, que afecta a las versiones hasta la 1.6.27. Esta vulnerabilidad permite a usuarios no autenticados modificar precios, lo que puede comprometer la integridad del sistema de reservas.

Contexto técnico

La vulnerabilidad se clasifica como un bypass de autenticación, lo que significa que no se requiere autenticación para explotarla. Los atacantes pueden enviar solicitudes manipuladas para alterar los precios sin necesidad de estar registrados en el sistema.

Impacto potencial

El impacto potencial incluye pérdidas económicas debido a transacciones fraudulentas y la posible desconfianza de los usuarios en el sistema de reservas. Además, podría afectar la reputación del negocio al permitir cambios no autorizados en los precios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando peticiones HTTP manipuladas que afectan la lógica de precios del plugin, permitiendo así que usuarios no autenticados alteren los precios de los productos o servicios ofrecidos.

Mitigación recomendada

Se recomienda actualizar el plugin Booking Package a la versión 1.6.29 o superior para mitigar esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y la auditoría de logs de acceso.

Señales de detección

Señales de riesgo incluyen un aumento inusual en las solicitudes HTTP relacionadas con el cambio de precios y la detección de accesos no autorizados a funciones críticas del plugin.

Alcance afectado

Las versiones del plugin Booking Package hasta la 1.6.27 están afectadas. Es crucial verificar la versión instalada en todos los sitios que utilicen este plugin.