Cost Calculator Builder <= 4.0.11 - Unauthenticated Sensitive Information Exposure of Payment Gateway Secret Keys (vulnerabilidad) - version 4.0.12

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Cost Calculator Builder hasta la versión 4.0.11, que permite la exposición no autenticada de claves secretas de pasarelas de pago. Esta falla puede comprometer la seguridad de las transacciones y datos sensibles de los usuarios.

Contexto técnico

La vulnerabilidad, clasificada como una omisión de autenticación, permite a atacantes no autenticados acceder a información sensible a través de puntos de entrada no protegidos en el plugin. Esto se traduce en un riesgo directo para las claves secretas utilizadas en las pasarelas de pago integradas.

Impacto potencial

La exposición de claves de pago puede resultar en transacciones fraudulentas y pérdida de confianza por parte de los usuarios. Esto podría acarrear daños financieros y reputacionales para el negocio, además de posibles sanciones por incumplimiento de normativas de protección de datos.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas a los puntos de acceso del plugin, lo que les permite obtener información sensible sin necesidad de autenticación.

Mitigación recomendada

Actualizar el plugin Cost Calculator Builder a la versión 4.0.12 o superior para mitigar la vulnerabilidad. Revisar y restringir el acceso a las configuraciones del plugin para evitar accesos no autorizados. Implementar medidas de seguridad adicionales, como firewalls y monitoreo de tráfico, para detectar actividades sospechosas.

Señales de detección

Revisar los logs de acceso en busca de solicitudes inusuales o no autenticadas dirigidas a rutas del plugin que gestionan información sensible.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.0.12 del plugin Cost Calculator Builder. No se han reportado escenarios no confirmados hasta la fecha.