iPOSpays Gateways WC <= 1.3.7 - Unauthenticated Missing Authorization to Settings Update via REST API Endpoint (falta de autorizacion)

Resumen ejecutivo

La extensión iPOSpays Gateways WC hasta la versión 1.3.7 presenta una vulnerabilidad de bypass de autenticación que permite la actualización de configuraciones sin autorización. Este fallo puede comprometer la seguridad del entorno operativo y la integridad de los datos gestionados.

Contexto técnico

El fallo se origina en la falta de controles de autorización en un endpoint de la API REST, lo que permite a un atacante no autenticado realizar cambios en la configuración del plugin. Esto expone la superficie de ataque a cualquier usuario que pueda enviar solicitudes al endpoint vulnerable.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante modificar configuraciones críticas del plugin, afectando la funcionalidad del sistema de pago y potencialmente comprometiendo datos sensibles de los usuarios. Esto puede resultar en pérdidas económicas y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen enviar solicitudes maliciosas a la API REST del plugin sin necesidad de autenticarse, aprovechando la falta de validación de permisos para acceder a la configuración.

Mitigación recomendada

Actualizar el plugin a la versión 1.3.7 o superior para cerrar la vulnerabilidad. Revisar las configuraciones de seguridad de la API REST para asegurar que se aplican controles de autorización adecuados. Implementar medidas de monitoreo para detectar actividades inusuales en los endpoints de la API.

Señales de detección

Revisar los logs del servidor para detectar solicitudes al endpoint de configuración del plugin que no provengan de usuarios autenticados. También se pueden buscar cambios inesperados en la configuración del plugin.

Alcance afectado

Esta vulnerabilidad afecta a todas las versiones de iPOSpays Gateways WC hasta la 1.3.7. No se han confirmado versiones posteriores como afectadas.