Formidable Forms <= 6.28 - Missing Authorization to Unauthenticated Payment Integrity Bypass via PaymentIntent Reuse

Resumen ejecutivo

Se ha detectado una vulnerabilidad de bypass de autorización en el plugin Formidable Forms, que afecta a versiones hasta la 6.28. Esta falla permite a usuarios no autenticados eludir controles de seguridad relacionados con pagos.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el manejo de las solicitudes de pago. Esto permite que un atacante reutilice el PaymentIntent, lo que compromete la integridad del proceso de pago.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante realizar pagos no autorizados, lo que puede resultar en pérdidas financieras y daños a la reputación de la empresa. Además, podría afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes manipuladas que aprovechan la falta de verificación de autorización, permitiendo la realización de pagos sin la debida autenticación.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Formidable Forms a la versión 6.29 o superior. Además, es aconsejable implementar controles adicionales de validación de pagos y revisar las configuraciones de seguridad del sitio.

Señales de detección

Señales de posible explotación incluyen transacciones inusuales en el sistema de pagos, accesos no autorizados a funciones de pago y logs de actividad sospechosa relacionados con el uso del plugin.

Alcance afectado

Las versiones del plugin Formidable Forms hasta la 6.28 son las afectadas. Se recomienda a todos los usuarios de este plugin que realicen la actualización correspondiente.