Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update en Demomentsomtres Classify ON Publish (falta de autorizacion) - version 201703020805

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Freemius SDK, que permite la actualización no autorizada de opciones arbitrarias. Esta falla afecta a las versiones hasta la 2.2.3 y puede comprometer la seguridad de las instalaciones de WordPress que lo utilizan.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada para ciertas actualizaciones de opciones dentro del plugin. Esto permite a un atacante modificar configuraciones sin el consentimiento del administrador, lo que podría llevar a un control no autorizado del sitio.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que puede permitir a un atacante realizar cambios maliciosos en la configuración del sitio, comprometiendo así la integridad, disponibilidad y confidencialidad de los datos. Esto podría resultar en pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza enviando solicitudes maliciosas que aprovechan la falta de controles de autorización. Un atacante podría enviar peticiones para modificar opciones críticas del plugin sin necesidad de autenticación.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 201703020805. Actualiza demomentsomtres-classify-on-publish a la versión 201703020805 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 201703020805, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Las señales que pueden indicar un riesgo de explotación incluyen cambios inesperados en las configuraciones del plugin, registros de acceso inusuales y actividad sospechosa en el panel de administración.

Alcance afectado

Las versiones del plugin Freemius SDK hasta la 2.2.3 están afectadas. Cualquier instalación que utilice estas versiones es vulnerable y debe ser actualizada.