PAYGENT for WooCommerce <= 2.4.6 - Missing Authorization to Unauthenticated Payment Callback Manipulation

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo RCE en el plugin PAYGENT para WooCommerce, que afecta a las versiones hasta la 2.4.6. Esta falla permite la manipulación de callbacks de pago sin autorización, lo que puede comprometer la seguridad de las transacciones.

Contexto técnico

La vulnerabilidad radica en la falta de autorización en los callbacks de pago no autenticados, lo que permite a un atacante manipular la información de pago. Esto representa un vector de ataque crítico, ya que puede ser explotado sin necesidad de autenticación previa.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante realice transacciones fraudulentas o manipule datos sensibles, lo que podría resultar en pérdidas financieras significativas y daños a la reputación del negocio.

Vector de explotación

Generalmente, esta vulnerabilidad se explota enviando solicitudes manipuladas a los endpoints de callback del plugin, lo que permite a un atacante ejecutar acciones no autorizadas en el sistema de pago.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin PAYGENT para WooCommerce a la versión 2.4.7 o superior. Además, se deben implementar controles adicionales de autenticación y autorización en los callbacks de pago.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales a los endpoints de pago, así como transacciones que no coinciden con las actividades habituales del negocio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.4.7 del plugin PAYGENT para WooCommerce.