MetForm Pro <= 3.9.7 - Unauthenticated Payment Amount Manipulation via 'mf-calculation'

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin MetForm Pro (versiones <= 3.9.7) que permite la manipulación no autenticada de montos de pago. Esta brecha de seguridad puede comprometer la integridad de las transacciones y afectar la confianza del cliente.

Contexto técnico

El fallo se origina en un bypass de autenticación que afecta la funcionalidad de cálculo de pagos a través de la función 'mf-calculation'. Los atacantes pueden manipular los montos de pago sin necesidad de autenticación, lo que expone a los sitios a fraudes financieros.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en pérdidas económicas significativas y daños a la reputación del negocio, ya que los usuarios pueden ser inducidos a realizar pagos incorrectos. La seguridad de las transacciones se ve comprometida, lo que puede llevar a una pérdida de confianza por parte de los clientes.

Vector de explotación

Los atacantes pueden explotar este fallo enviando solicitudes manipuladas a la función afectada, lo que les permite alterar los montos de pago sin autenticarse en el sistema.

Mitigación recomendada

Actualizar el plugin MetForm Pro a la versión 3.9.8 o superior para cerrar la vulnerabilidad. Revisar los registros de transacciones para detectar actividades sospechosas relacionadas con montos de pago. Implementar medidas de seguridad adicionales, como la validación de pagos y la autenticación de usuarios.

Señales de detección

Señales de riesgo incluyen transacciones con montos inusuales, registros de acceso no autenticados a la función 'mf-calculation' y cambios en los montos de pago que no corresponden a las configuraciones previas.

Alcance afectado

Las versiones afectadas son MetForm Pro hasta la 3.9.7. La versión 3.9.8 y posteriores no presentan esta vulnerabilidad. No se han confirmado casos en instalaciones que no utilicen este plugin.