Aplazo Payment Gateway <= 1.4.3 - Missing Authorization to Unauthenticated Order Status Manipulation

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin Aplazo Payment Gateway, que afecta a las versiones anteriores a la 1.4.3. Esta falla permite la manipulación no autorizada del estado de las órdenes por usuarios no autenticados.

Contexto técnico

La vulnerabilidad se origina en la falta de controles adecuados de autorización en las funciones que gestionan el estado de las órdenes. Esto permite a un atacante no autenticado modificar el estado de las órdenes sin necesidad de credenciales, lo que representa una brecha en la seguridad del sistema de pagos.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante manipular órdenes, lo que podría resultar en pérdidas económicas significativas y dañar la confianza del cliente en la plataforma. Además, puede comprometer la integridad de los datos financieros y las operaciones comerciales.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes HTTP maliciosas para cambiar el estado de las órdenes sin estar autenticados, aprovechando la falta de validación de permisos en el plugin.

Mitigación recomendada

Se recomienda actualizar el plugin Aplazo Payment Gateway a la versión 1.5.0 o superior para mitigar esta vulnerabilidad. Además, es aconsejable revisar las configuraciones de seguridad y aplicar medidas de hardening en la instalación de WordPress.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en el estado de las órdenes y registros de acceso inusuales que indiquen intentos de manipulación por parte de usuarios no autenticados.

Alcance afectado

Las versiones del plugin Aplazo Payment Gateway anteriores a la 1.4.3 son las afectadas. La vulnerabilidad fue publicada el 13 de enero de 2026 y debe ser abordada en todas las instalaciones que utilicen estas versiones.