Fuente base de datos: Wordfence Intelligence
Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.
La vulnerabilidad en el plugin Nexi XPay permite la modificación del estado de los pedidos sin la debida autorización, lo que puede comprometer la integridad de las transacciones. Esta falla, catalogada como de severidad media (CVE-2025-15565), afecta a las versiones anteriores a 8.3.2 y requiere atención inmediata para evitar abusos operativos.
El fallo se origina en la falta de controles de autorización para la modificación del estado de pedidos, lo que permite a usuarios no autenticados realizar cambios. La superficie de ataque se centra en las funciones del plugin que gestionan el estado de los pedidos, lo que facilita la explotación sin necesidad de credenciales.
El impacto en el negocio puede ser significativo, ya que permite a atacantes manipular estados de pedidos, lo que puede resultar en pérdidas económicas y daños a la reputación. La integridad de las transacciones se ve comprometida, lo que podría afectar la confianza de los clientes.
Los atacantes pueden enviar solicitudes directas a las funciones del plugin que gestionan el estado de los pedidos, eludiendo los mecanismos de autenticación.
Actualizar el plugin Nexi XPay a la versión 8.3.2 o superior para corregir la vulnerabilidad. Revisar y restringir los permisos de acceso a las funciones críticas del plugin. Implementar medidas de seguridad adicionales, como autenticación de dos factores para la gestión de pedidos.
Revisar los registros de acceso en busca de intentos no autorizados de modificación de estados de pedidos. Configuraciones inusuales o cambios en los estados de pedidos sin un registro de usuario autenticado son señales de alerta.
Las versiones del plugin Nexi XPay anteriores a la 8.3.2 están afectadas. No se han confirmado casos de explotación en versiones posteriores.
essential-chat-support
form-notify
smartcat-wpml
burst-statistics
career-section
infusedwoopro
infusedwoopro
user-registration
¿Tu WordPress podría estar expuesto?
Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.
Hacer el análisis gratisProtección profesional para tu WordPress
Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.
Hablar con un expertoGestiona el consentimiento por categoría según tus preferencias.
Imprescindibles para la navegación, seguridad y funcionamiento básico.
Nos ayuda a medir uso y rendimiento para mejorar contenidos y UX. Incluye un identificador anónimo de visitante para analizar navegación, formularios, chat y análisis WP.
Permite personalizar campañas y medir conversiones en canales externos.
Puedes cambiar o retirar el consentimiento en cualquier momento desde «Preferencias de cookies». Más información en la Política de cookies.