Culqi <= 3.0.14 - Authenticated (Subscriber+) Server-Side Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin Culqi Checkout, afectando a versiones hasta 3.0.14. Esta vulnerabilidad, catalogada con una severidad media, puede comprometer la seguridad del servidor.

Contexto técnico

La vulnerabilidad SSRF permite a un atacante autenticado (con rol de suscriptor o superior) enviar solicitudes maliciosas desde el servidor, lo que puede llevar a la exposición de información sensible o a la interacción no autorizada con otros servicios internos.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante acceda a datos internos del servidor o realice acciones no autorizadas, lo que podría comprometer la integridad y confidencialidad de la información del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza a través de la manipulación de solicitudes HTTP enviadas desde el servidor, aprovechando la capacidad del plugin para interactuar con otros servicios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Culqi Checkout a la versión 3.0.15 o superior. Además, se sugiere revisar las configuraciones de seguridad y limitar el acceso a funcionalidades críticas del servidor.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales desde el servidor hacia servicios internos o externos, así como alertas sobre accesos no autorizados por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin Culqi Checkout hasta la 3.0.14 son las afectadas. Se recomienda a los usuarios que verifiquen su instalación y actualicen a la versión corregida.