GiveWP – Donation Plugin and Fundraising Platform <= 4.10.0 - Missing Authorization to Unauthenticated Forms and Campaigns Disclosure

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin GiveWP, que afecta a las versiones hasta la 4.10.0. Esta falla permite el acceso no autorizado a formularios y campañas, lo que podría comprometer la información sensible de las donaciones.

Contexto técnico

La vulnerabilidad se origina por la falta de controles de autorización en formularios que deberían estar restringidos a usuarios autenticados. Esto permite que cualquier visitante no autenticado pueda acceder a información que debería ser privada, lo que expone la superficie de ataque del plugin.

Impacto potencial

El impacto de esta vulnerabilidad es medio, ya que puede resultar en la divulgación no autorizada de datos de campañas de recaudación de fondos. Esto podría afectar la confianza de los donantes y la reputación de la organización, además de posibles implicaciones legales relacionadas con la protección de datos.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad accediendo directamente a las URLs de los formularios y campañas, sin necesidad de autenticación previa, lo que les permite ver y potencialmente manipular información sensible.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin GiveWP a la versión 4.10.1 o superior. Además, es aconsejable revisar la configuración de acceso a formularios y campañas para asegurar que se aplican las restricciones adecuadas a usuarios no autenticados.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a formularios de donación desde direcciones IP no reconocidas o intentos de acceso a campañas sin autenticación previa.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.10.1 del plugin GiveWP. Se recomienda a los administradores de sitios que utilizan este plugin verificar su versión y aplicar las actualizaciones necesarias.