User Registration & Membership <= 5.2.2 - Missing Authorization to Unauthenticated User Deletion via Stripe Handler (falta de autorizacion) - version 5.2.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin User Registration & Membership hasta la versión 5.2.2 que permite a usuarios no autenticados eliminar cuentas a través del manejador de Stripe. Este fallo de autorización puede comprometer la integridad de los datos de usuario y la seguridad del sitio.

Contexto técnico

El fallo se presenta en la funcionalidad de eliminación de usuarios del plugin, donde no se implementan adecuadamente las verificaciones de autorización. Esto permite que un atacante no autenticado envíe solicitudes maliciosas para eliminar usuarios, utilizando el manejador de Stripe como vector de ataque.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la eliminación no autorizada de cuentas de usuario, afectando la confianza del cliente y la reputación del negocio. Además, puede dar lugar a la pérdida de datos críticos y a interrupciones en el servicio.

Vector de explotación

La vulnerabilidad se explota enviando solicitudes a la API del plugin sin la autorización adecuada, específicamente a través de la integración con Stripe.

Mitigación recomendada

Actualizar el plugin User Registration & Membership a la versión 5.2.3 o superior. Revisar y reforzar las configuraciones de autorización en el plugin para prevenir accesos no autorizados. Auditar los logs de acceso para identificar actividades sospechosas relacionadas con la eliminación de usuarios.

Señales de detección

Señales de riesgo incluyen registros de eliminación de usuarios sin autenticación previa y solicitudes inusuales al manejador de Stripe en los logs del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin User Registration & Membership hasta la 5.2.2. No se han confirmado casos en versiones posteriores.