Rupantorpay <= 2.0.0 - Missing Authorization to Unauthenticated Order Status Modification (falta de autorizacion)

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autorización en el plugin Rupantorpay, que permite la modificación del estado de pedidos sin la autenticación adecuada. Esta falla afecta a la versión 2.0.0 y anteriores, con un nivel de severidad medio.

Contexto técnico

El fallo se origina en la falta de controles de autorización en las funciones que gestionan el estado de los pedidos. Esto permite a un atacante no autenticado realizar modificaciones en el estado de los pedidos, lo que puede comprometer la integridad de las transacciones.

Impacto potencial

El impacto potencial incluye la manipulación de pedidos, lo que podría resultar en pérdidas financieras y daños a la reputación del negocio. La explotación de esta vulnerabilidad podría permitir a un atacante alterar el estado de pedidos legítimos, afectando la confianza de los clientes.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas a las funciones del plugin que gestionan el estado de los pedidos, sin necesidad de autenticarse.

Mitigación recomendada

Actualizar el plugin Rupantorpay a la versión 2.0.0 o posterior para corregir la vulnerabilidad. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de permisos en todas las funciones críticas.

Señales de detección

Señales de posible explotación incluyen cambios inusuales en el estado de los pedidos y registros de acceso no autorizados a funciones administrativas del plugin.

Alcance afectado

Las versiones del plugin Rupantorpay anteriores a la 2.0.0 están afectadas por esta vulnerabilidad.