Xendit Payment <= 7.1.0 - Missing Authorization en WOO Xendit Virtual Accounts (falta de autorizacion)

Resumen ejecutivo

La extensión Xendit Payment hasta la versión 7.1.0 presenta una vulnerabilidad de autorización que puede comprometer la seguridad de las transacciones. Este fallo, con una severidad media (CVSS 5.3), puede permitir accesos no autorizados, afectando la operativa del negocio.

Contexto técnico

El fallo se origina en la falta de controles de autorización adecuados en el plugin Xendit Payment, lo que permite a usuarios no autenticados realizar acciones que deberían estar restringidas. La superficie de ataque se centra en las funcionalidades de pago del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en transacciones fraudulentas, pérdida de ingresos y daños a la reputación del negocio. Además, podría comprometer la confianza de los clientes en la plataforma, afectando la relación comercial.

Vector de explotación

Los atacantes pueden aprovechar la vulnerabilidad enviando solicitudes maliciosas a las funciones del plugin que no requieren autenticación previa, lo que les permite eludir controles de seguridad.

Mitigación recomendada

Actualizar el plugin Xendit Payment a la versión 7.1.0 o posterior para cerrar la vulnerabilidad. Revisar las configuraciones de seguridad del plugin y asegurarse de que las autorizaciones estén correctamente implementadas. Monitorear las transacciones y accesos al sistema para detectar actividades inusuales.

Señales de detección

Buscar en los logs de acceso intentos de transacciones no autorizadas y revisar configuraciones de autorización dentro del plugin para identificar posibles brechas.

Alcance afectado

Esta vulnerabilidad afecta a todas las versiones del plugin Xendit Payment anteriores a la 7.1.0. No se ha confirmado si versiones posteriores están afectadas.