iCount Payment Gateway <= 2.1.1 - Missing Authorization (falta de autorizacion) - version 2.1.2

Resumen ejecutivo

La vulnerabilidad en el plugin iCount Payment Gateway, presente en versiones hasta la 2.0.6, se debe a la falta de autorización adecuada. Esto puede permitir a usuarios no autenticados realizar acciones no permitidas en el sistema.

Contexto técnico

El fallo se origina en la gestión de permisos dentro del plugin, lo que permite que ciertas funciones se ejecuten sin la validación necesaria de autorización. Esto expone la superficie de ataque a usuarios malintencionados que podrían abusar de estas funciones.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de las transacciones y datos financieros, afectando la confianza de los clientes y la reputación del negocio. Además, podría resultar en pérdidas económicas significativas.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad enviando solicitudes maliciosas a las funciones del plugin que no requieren autenticación, lo que les permitiría realizar acciones no autorizadas.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 2.1.2. Actualiza icount a la versión 2.1.2 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 2.1.2, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales a funciones del plugin y cambios inesperados en los datos de transacciones. La monitorización de logs puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones del plugin iCount Payment Gateway anteriores a la 2.0.6 están afectadas. Se recomienda a los usuarios de este plugin verificar su versión y proceder a la actualización.