FundEngine – Donation and Crowdfunding Platform <= 1.7.6 - Missing Authorization en WP Fundraising Donation (falta de autorizacion) - version 1.7.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin FundEngine para WordPress, que afecta a las versiones hasta la 1.7.6. Esta falla de autorización podría permitir accesos no autorizados, comprometiendo la seguridad operativa del sitio.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en el plugin FundEngine, utilizado para plataformas de donación y crowdfunding. Esto permite que usuarios no autenticados realicen acciones restringidas, exponiendo datos sensibles.

Impacto potencial

El impacto en negocio puede ser significativo, ya que un acceso no autorizado puede resultar en la manipulación de donaciones y datos de usuarios. Esto no solo afecta la integridad de la información, sino que también puede dañar la reputación de la organización.

Vector de explotación

La explotación de esta vulnerabilidad generalmente ocurre cuando un atacante envía solicitudes maliciosas a funciones del plugin que no requieren autenticación adecuada.

Mitigación recomendada

Actualizar el plugin FundEngine a la versión 1.7.7 o superior. Revisar los permisos de usuario y las configuraciones de acceso en el plugin. Implementar medidas de seguridad adicionales, como la autenticación de dos factores.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales de solicitudes a funciones del plugin. También observar cambios no autorizados en la configuración del plugin.

Alcance afectado

Las versiones del plugin FundEngine hasta la 1.7.6 están afectadas. No se han confirmado otros escenarios o plugins relacionados.