PayPlus Payment Gateway <= 8.2.1 - Unauthenticated Order Payment Manipulation (vulnerabilidad) - version 8.2.2

Resumen ejecutivo

La extensión PayPlus Payment Gateway hasta la versión 8.2.1 presenta una vulnerabilidad de tipo bypass de autenticación, permitiendo la manipulación de pagos sin autenticación. Esto puede comprometer la integridad de las transacciones y afectar la confianza del cliente en la plataforma.

Contexto técnico

El fallo se origina en la falta de controles adecuados en la gestión de pedidos, permitiendo a un atacante realizar pagos no autenticados. La superficie de ataque se centra en las funcionalidades del plugin que manejan las transacciones de pago.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en pérdidas financieras significativas y en daños a la reputación del negocio, ya que los clientes podrían verse afectados por transacciones fraudulentas.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, eludiendo la autenticación necesaria para procesar pagos.

Mitigación recomendada

Actualizar el plugin PayPlus Payment Gateway a la versión 8.2.2 o superior. Revisar los registros de transacciones para detectar actividades inusuales. Implementar medidas adicionales de seguridad, como la autenticación multifactor en el proceso de pago.

Señales de detección

Señales de alerta incluyen transacciones no autorizadas en los registros y accesos inusuales a la API del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 8.2.2 del plugin PayPlus Payment Gateway. No se han identificado escenarios adicionales no confirmados.