Nexi XPay <= 8.3.0 - Missing Authorization to Unauthenticated Order Status Modification

Resumen ejecutivo

La vulnerabilidad en el plugin Nexi XPay permite la modificación del estado de los pedidos sin la debida autorización, lo que puede comprometer la integridad de las transacciones. Esta falla, catalogada como de severidad media (CVE-2025-15565), afecta a las versiones anteriores a 8.3.2 y requiere atención inmediata para evitar abusos operativos.

Contexto técnico

El fallo se origina en la falta de controles de autorización para la modificación del estado de pedidos, lo que permite a usuarios no autenticados realizar cambios. La superficie de ataque se centra en las funciones del plugin que gestionan el estado de los pedidos, lo que facilita la explotación sin necesidad de credenciales.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que permite a atacantes manipular estados de pedidos, lo que puede resultar en pérdidas económicas y daños a la reputación. La integridad de las transacciones se ve comprometida, lo que podría afectar la confianza de los clientes.

Vector de explotación

Los atacantes pueden enviar solicitudes directas a las funciones del plugin que gestionan el estado de los pedidos, eludiendo los mecanismos de autenticación.

Mitigación recomendada

Actualizar el plugin Nexi XPay a la versión 8.3.2 o superior para corregir la vulnerabilidad. Revisar y restringir los permisos de acceso a las funciones críticas del plugin. Implementar medidas de seguridad adicionales, como autenticación de dos factores para la gestión de pedidos.

Señales de detección

Revisar los registros de acceso en busca de intentos no autorizados de modificación de estados de pedidos. Configuraciones inusuales o cambios en los estados de pedidos sin un registro de usuario autenticado son señales de alerta.

Alcance afectado

Las versiones del plugin Nexi XPay anteriores a la 8.3.2 están afectadas. No se han confirmado casos de explotación en versiones posteriores.