Knit Pay – Cashfree, Instamojo, Razorpay, PayPal and more <= 9.6.0.0 - Missing Authorization (falta de autorizacion) - version 9.6.0.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización faltante en el plugin Knit Pay, afectando a versiones hasta la 9.6.0.0. Esta falla puede comprometer la seguridad de las transacciones y datos de los usuarios.

Contexto técnico

La vulnerabilidad se encuentra en el componente Knit Pay, utilizado para gestionar pagos a través de diversas plataformas. La falta de autorización adecuada permite a un atacante acceder a funciones restringidas, exponiendo así la información sensible.

Impacto potencial

El impacto en la seguridad de las transacciones puede resultar en accesos no autorizados a datos financieros, lo que podría llevar a pérdidas económicas y daños a la reputación del negocio. Además, la exposición de datos personales de los usuarios puede acarrear sanciones legales.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante solicitudes maliciosas que eluden los controles de acceso, permitiendo que un atacante ejecute acciones no autorizadas dentro del plugin.

Mitigación recomendada

Actualizar el plugin Knit Pay a la versión 9.6.0.1 o superior para corregir la vulnerabilidad. Revisar y reforzar las configuraciones de seguridad para evitar accesos no autorizados. Realizar auditorías periódicas de seguridad en los plugins instalados.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales o intentos de acceso a funciones restringidas del plugin.

Alcance afectado

Las versiones del plugin Knit Pay hasta la 9.6.0.0 están afectadas. No se han confirmado casos en versiones posteriores a la 9.6.0.1.