Freemius SDK <= 2.5.9 - Reflected Cross-Site Scripting via fs_request_get en Meta TAG Manager (Cross-Site Scripting (XSS)) - version 2.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Meta Tag Manager, específicamente en la versión del SDK de Freemius hasta la 2.5.9. Esta vulnerabilidad puede permitir a un atacante inyectar scripts maliciosos en las páginas web afectadas.

Contexto técnico

El fallo se origina en la forma en que el plugin procesa las solicitudes a través de la función fs_request_get, permitiendo la inyección de código malicioso en las respuestas. Esto representa una superficie de ataque que puede ser aprovechada mediante la manipulación de parámetros en las URL.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible de los usuarios, como cookies de sesión, o redirija a los usuarios a sitios web maliciosos. Esto puede comprometer la integridad del sitio y la confianza del usuario, afectando negativamente al negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad manipulando las peticiones HTTP para incluir scripts maliciosos que se ejecutan en el navegador de la víctima cuando accede a la página comprometida.

Mitigación recomendada

Se recomienda actualizar el plugin Meta Tag Manager a la versión 2.1 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen la detección de solicitudes inusuales que contengan parámetros manipulados o la aparición de scripts no autorizados en el contenido de las páginas web.

Alcance afectado

Las versiones del plugin Meta Tag Manager que están afectadas son aquellas que utilizan el SDK de Freemius hasta la versión 2.5.9. Se debe verificar la instalación de este plugin para determinar la vulnerabilidad.