CorvusPay WooCommerce Payment Gateway <= 2.7.4 - Missing Authorization en Corvuspay Woocommerce Integration - version 2.7.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad de ejecución remota de código (RCE) en el plugin CorvusPay WooCommerce Payment Gateway hasta la versión 2.7.4. Esta falla, catalogada con una severidad media, podría comprometer la seguridad operativa de las tiendas online que utilizan este componente.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el plugin CorvusPay, permitiendo a un atacante ejecutar código malicioso de forma remota. La superficie de ataque se presenta principalmente a través de las funcionalidades de pago del plugin, expuestas en entornos donde no se han implementado controles de acceso estrictos.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que un atacante podría manipular transacciones o acceder a datos sensibles de clientes. Esto no solo compromete la integridad de la tienda, sino que también puede dañar la reputación de la marca y resultar en pérdidas económicas.

Vector de explotación

La explotación de esta vulnerabilidad se realiza a través de solicitudes maliciosas dirigidas a las funcionalidades del plugin que no requieren autenticación adecuada, lo que permite la ejecución de código no autorizado.

Mitigación recomendada

Actualizar el plugin CorvusPay WooCommerce Payment Gateway a la versión 2.7.5 o superior. Revisar y reforzar las políticas de autorización y autenticación en el sistema. Realizar pruebas de seguridad para identificar otros posibles puntos vulnerables en la configuración.

Señales de detección

Señales observables en los logs incluyen intentos de acceso no autorizado a funciones del plugin y patrones de tráfico inusuales en las rutas de pago.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.7.5. No se han confirmado casos en versiones posteriores, pero se recomienda mantener el plugin actualizado.