WooCommerce Stripe Payment Gateway <= 10.7.0 - Missing Authorization to Unauthenticated Order Status Manipulation via 'order' Parameter en Woocommerce Gateway Stripe - version 10.8.0

Resumen ejecutivo

Se ha detectado una vulnerabilidad en el plugin WooCommerce Stripe Payment Gateway, que permite a usuarios no autenticados manipular el estado de los pedidos mediante el parámetro 'order'. Esto puede comprometer la integridad de las transacciones y afectar la confianza del cliente.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para el parámetro 'order', lo que permite a un atacante modificar el estado de un pedido sin necesidad de autenticación. Este tipo de fallo se clasifica como una ejecución remota de código (RCE) y afecta a la superficie de ataque del plugin en versiones hasta 10.7.0.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la alteración no autorizada de pedidos, lo que podría resultar en pérdidas económicas y daño a la reputación de la tienda online. La severidad del fallo se clasifica como media, con un CVSS de 6.5.

Vector de explotación

La explotación se puede realizar enviando solicitudes manipuladas al servidor que contienen el parámetro 'order', permitiendo así a un atacante cambiar el estado de los pedidos sin estar autenticado.

Mitigación recomendada

Actualizar el plugin WooCommerce Stripe Payment Gateway a la versión 10.8.0 o superior. Revisar los registros de actividad para detectar posibles manipulaciones de estado de pedidos. Implementar controles adicionales de autorización para la gestión de pedidos.

Señales de detección

Señales de riesgo pueden incluir cambios inusuales en el estado de los pedidos sin registros de autenticación o actividad sospechosa en los logs de acceso.

Alcance afectado

Las versiones del plugin WooCommerce Stripe Payment Gateway hasta la 10.7.0 están afectadas. Se recomienda a los usuarios que no han actualizado a la versión 10.8.0 que realicen la actualización de inmediato.