Freemius SDK <= 2.5.9 - Reflected Cross-Site Scripting via fs_request_get en AZW Woocommerce File Uploads (Cross-Site Scripting (XSS)) - version 1.0.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Azw WooCommerce File Uploads, específicamente en la versión del Freemius SDK hasta 2.5.9. Esta vulnerabilidad permite la inyección de scripts maliciosos a través de la función fs_request_get.

Contexto técnico

El fallo se origina en la forma en que el Freemius SDK gestiona las solicitudes. Al no validar adecuadamente los datos de entrada, un atacante puede inyectar código JavaScript que se ejecutará en el navegador de otros usuarios, comprometiendo así la seguridad de la aplicación web.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Normalmente, la explotación de esta vulnerabilidad se realiza enviando solicitudes manipuladas que incluyen código malicioso, que luego se refleja en la respuesta del servidor y se ejecuta en el navegador del usuario objetivo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.0.1 o superior. Además, se debe implementar una validación y sanitización rigurosa de todas las entradas del usuario y considerar el uso de Content Security Policy (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Señales de riesgo pueden incluir la aparición de comportamientos inusuales en el sitio web, como redirecciones inesperadas, mensajes de alerta en la consola del navegador o informes de usuarios que experimentan comportamientos extraños al interactuar con el sitio.

Alcance afectado

Las versiones del plugin Azw WooCommerce File Uploads que utilizan Freemius SDK hasta la versión 2.5.9 son las afectadas. La vulnerabilidad fue publicada el 18 de julio de 2023.