iPOSpays Gateways WC <= 1.3.7 - Unauthenticated Missing Authorization to Settings Update via REST API Endpoint (falta de autorizacion) - version 1.3.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin iPOSpays Gateways WC en versiones hasta 1.3.7. Esta falla, catalogada con una severidad media, puede comprometer la seguridad operativa del sitio web.

Contexto técnico

El fallo se origina en la falta de autorización adecuada en el plugin iPOSpays Gateways WC, lo que permite a un atacante potencial realizar acciones no autorizadas. La superficie de ataque se centra en las funciones del plugin que no implementan controles de acceso correctos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados realizar transacciones o acceder a información sensible, afectando la integridad y confianza del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se puede llevar a cabo mediante la manipulación de solicitudes HTTP dirigidas a las funciones del plugin que carecen de validación de autorización.

Mitigación recomendada

Actualizar el plugin iPOSpays Gateways WC a la versión 1.3.7 o superior. Revisar y reforzar las configuraciones de seguridad del sitio web. Monitorear el acceso y las transacciones realizadas a través del plugin.

Señales de detección

Señales de riesgo incluyen logs de acceso inusuales a funciones del plugin y cambios inesperados en las configuraciones del mismo.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.3.7 del plugin iPOSpays Gateways WC. No se han confirmado otros escenarios o plugins relacionados.