Xendit Payment <= 6.0.2 - Missing Authorization to Unauthenticated Arbitrary Order Status Update to Paid

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Xendit Payment (versiones hasta 6.0.2) que permite la actualización del estado de pedidos a 'pagado' sin la debida autorización. Esta falla de seguridad podría ser aprovechada por atacantes no autenticados.

Contexto técnico

El fallo se debe a una falta de verificación de autorización en el proceso de actualización del estado de los pedidos. Esto permite que cualquier usuario no autenticado pueda modificar el estado de un pedido, lo que representa un riesgo significativo para la integridad de las transacciones.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en pérdidas financieras y daños a la reputación de la tienda online, ya que los atacantes podrían manipular el estado de los pedidos, generando confusión y desconfianza entre los clientes.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas para cambiar el estado de los pedidos a 'pagado' sin necesidad de autenticarse, lo que les permite eludir controles de seguridad.

Mitigación recomendada

Actualizar el plugin Xendit Payment a la versión 6.1.0 o superior para corregir la vulnerabilidad. Además, se recomienda realizar una revisión de los permisos de usuario y establecer medidas de seguridad adicionales para proteger el sistema.

Señales de detección

Señales de explotación pueden incluir cambios inusuales en el estado de los pedidos sin registros de autenticación, así como un aumento en las solicitudes de actualización de estado desde direcciones IP no reconocidas.

Alcance afectado

Las versiones del plugin Xendit Payment hasta la 6.0.2 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y proceder a la actualización.