Yoco Payments <= 3.9.0 - Unauthenticated Arbitrary File Read en Yoco Payment Gateway (vulnerabilidad) - version 3.9.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Yoco Payments, que permite la lectura arbitraria de archivos sin autenticación. Esta falla afecta a las versiones hasta la 3.9.0 y puede comprometer la seguridad de los datos del sitio.

Contexto técnico

El fallo se origina por una falta de validación en las solicitudes, permitiendo a un atacante acceder a archivos del servidor sin necesidad de autenticarse. Esto se traduce en una exposición de información sensible que podría ser utilizada para realizar ataques adicionales.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante acceder a información crítica del sistema, lo que podría llevar a la pérdida de datos, compromisos de seguridad y daños a la reputación de la empresa.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas al servidor, aprovechando la falta de control de acceso en el plugin para acceder a archivos sensibles.

Mitigación recomendada

Para mitigar esta vulnerabilidad, es esencial actualizar el plugin Yoco Payments a la versión 3.9.1 o superior. Además, se recomienda revisar las configuraciones de seguridad del servidor y aplicar medidas de hardening adicionales.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de acceso que muestren patrones inusuales de solicitudes a archivos sensibles. También se deben monitorizar alertas de seguridad relacionadas con accesos no autorizados.

Alcance afectado

Las versiones del plugin Yoco Payments hasta la 3.9.0 son las afectadas, por lo que todas las instalaciones que utilicen estas versiones están en riesgo.