LatePoint - Calendar Booking Plugin for Appointments and Events <= 5.4.0 - Unauthenticated Stripe PaymentIntent Amount-Binding Bypass (vulnerabilidad) - version 5.4.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de bypass de autenticación en el plugin LatePoint, afectando a versiones hasta la 5.4.0. Este fallo permite a atacantes no autenticados manipular montos de pago en Stripe, lo que puede comprometer la integridad financiera de las transacciones.

Contexto técnico

El fallo se origina en el plugin LatePoint, específicamente en la gestión de los montos de pago de Stripe. La falta de validación adecuada permite que usuarios no autenticados modifiquen la cantidad a pagar, lo que expone a los sitios a fraudes financieros.

Impacto potencial

El impacto en el negocio puede ser significativo, ya que permite a atacantes realizar pagos fraudulentos, lo que puede resultar en pérdidas económicas y daños a la reputación. Además, la exposición a esta vulnerabilidad puede llevar a sanciones por incumplimiento de normativas de seguridad.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación de solicitudes a la API de Stripe, lo que permite alterar el monto de las transacciones sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin LatePoint a la versión 5.4.1 o superior para corregir el fallo. Revisar las configuraciones de seguridad del plugin y de Stripe para asegurar que no haya configuraciones que permitan el acceso no autorizado. Monitorear las transacciones realizadas a través de Stripe para detectar cualquier actividad sospechosa.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales en las solicitudes a la API de Stripe, así como cualquier intento de modificación de montos.

Alcance afectado

Las versiones del plugin LatePoint hasta la 5.4.0 están afectadas. No se han confirmado escenarios adicionales de explotación en versiones posteriores.