Fuente base de datos: Wordfence Intelligence

Nexi XPay <= 8.3.0 - Missing Authorization to Unauthenticated Order Status Modification en Cartasi X PAY (falta de autorizacion) - version 8.3.2

PLUGIN MEDIUM CVE-2025-15565

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

La vulnerabilidad en el plugin Nexi XPay permite la modificación del estado de los pedidos sin la debida autorización, lo que puede comprometer la integridad de las transacciones. Esta falla, catalogada como de severidad media (CVE-2025-15565), afecta a las versiones anteriores a 8.3.2 y requiere atención inmediata para evitar abusos operativos.

Contexto técnico

El fallo se origina en la falta de controles de autorización para la modificación del estado de pedidos, lo que permite a usuarios no autenticados realizar cambios. La superficie de ataque se centra en las funciones del plugin que gestionan el estado de los pedidos, lo que facilita la explotación sin necesidad de credenciales.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que permite a atacantes manipular estados de pedidos, lo que puede resultar en pérdidas económicas y daños a la reputación. La integridad de las transacciones se ve comprometida, lo que podría afectar la confianza de los clientes.

Vector de explotación

Los atacantes pueden enviar solicitudes directas a las funciones del plugin que gestionan el estado de los pedidos, eludiendo los mecanismos de autenticación.

Mitigación recomendada

Actualizar el plugin Nexi XPay a la versión 8.3.2 o superior para corregir la vulnerabilidad. Revisar y restringir los permisos de acceso a las funciones críticas del plugin. Implementar medidas de seguridad adicionales, como autenticación de dos factores para la gestión de pedidos.

Señales de detección

Revisar los registros de acceso en busca de intentos no autorizados de modificación de estados de pedidos. Configuraciones inusuales o cambios en los estados de pedidos sin un registro de usuario autenticado son señales de alerta.

Alcance afectado

Las versiones del plugin Nexi XPay anteriores a la 8.3.2 están afectadas. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

CRITICAL PLUGIN

profile-builder

User Profile Builder <= 3.16.4 - Unauthenticated Authentication Bypass via Type Confusion to Administrator Account Takeover via 'username' Parameter

CRITICAL PLUGIN

truebooker-appointment-booking

TrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' Parameter

CRITICAL PLUGIN

link-library

Link Library <= 7.9.4 - Unauthenticated Arbitrary File Deletion via link_url Parameter

CRITICAL PLUGIN

rapisafe-multi-file-cf7

RapiSafe <= 1.0.4 - Unauthenticated Arbitrary File Deletion via 'rsmfcf7_session' and 'file_name' Parameters

CRITICAL PLUGIN

6storage-rentals

6Storage Rentals <= 2.27.0 - Unauthenticated Account Takeover via 'email' Parameter

MEDIUM PLUGIN

booking-calendar

Booking calendar, Appointment Booking System <= 3.2.36 - Missing Authorization to Unauthenticated Arbitrary Modification via wpdevart_payment AJAX Action

HIGH PLUGIN

maxupload-upload-larger-files-easily

MaxUpload <= 1.4.0 - Unauthenticated Arbitrary File Upload via 'resumableFilename' Parameter

MEDIUM PLUGIN

booking-system

Pinpoint Booking System <= 2.9.9.6.8 - Unauthenticated Improper Input Validation to Price Manipulation via 'cart_data' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto