Una vulnerabilidad en WPForms, un plugin de WordPress utilizado en más de 6 millones de sitios web, podría permitir a los usuarios a nivel de suscriptor emitir reembolsos arbitrarios de Stripe o cancelar suscripciones.
Rastreado como CVE-2024-11205, el fallo se clasificó como un problema de gravedad alta debido al requisito previo de autenticación. Sin embargo, dado que la mayoría de los sitios disponen de sistemas de suscripción, su explotación puede resultar bastante sencilla en la mayoría de los casos.
El problema afecta a WPForms desde la versión 1.8.4 hasta la 1.9.2.1, con un parche introducido en la versión 1.9.2.2, publicada el mes pasado.
WPForms es un constructor de formularios de WordPress fácil de usar que permite arrastrar y soltar para crear formularios de contacto, comentarios, suscripciones y pagos, y que ofrece soporte para Stripe, PayPal, Square y otros.
El plugin está disponible en versión premium (WPForms Pro) y gratuita (WPForms Lite). Esta última está activa en más de seis millones de sitios de WordPress.
La vulnerabilidad tiene su origen en el uso incorrecto de la función 'wpforms_is_admin_ajax()' para determinar si una petición es una llamada AJAX de admin.
Aunque esta función comprueba si la petición se origina desde una ruta de administrador, no aplica comprobaciones de capacidad para restringir el acceso en función del rol o los permisos del usuario.
Esto permite a cualquier usuario autenticado, incluso suscriptores, invocar funciones AJAX sensibles como 'ajax_single_payment_refund()', que ejecuta reembolsos de Stripe, y 'ajax_single_payment_cancel()', que cancela suscripciones.
Las consecuencias de la explotación de CVE-2024-11205 podrían ser graves para los propietarios de sitios web, provocando pérdida de ingresos, interrupción del negocio y problemas de confianza con su base de clientes.
Solución disponible
El fallo fue descubierto por el investigador de seguridad 'vullu164', que lo comunicó al programa de recompensas por fallos de Wordfence para obtener un pago de 2.376 dólares el 8 de noviembre de 2024.
Wordfence posteriormente validó el informe y confirmó el exploit proporcionado, enviando todos los detalles al proveedor, Awesome Motive, el 14 de noviembre.
El 18 de noviembre, Awesome Motive publicó la versión corregida 1.9.2.2, añadiendo comprobaciones de capacidad y mecanismos de autorización adecuados en las funciones AJAX afectadas.
Según las estadísticas de wordpress.org, aproximadamente la mitad de los sitios que utilizan WPForms ni siquiera están en la última rama de la versión (1.9.x), por lo que el número de sitios web vulnerables es de al menos 3 millones.
Wordfence aún no ha detectado la explotación activa de CVE-2024-11205 en la naturaleza, pero se recomienda actualizar a la versión 1.9.2.2 lo antes posible o desactivar el plugin de su sitio.
Fuente: bleepingcomputer