Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Everse Starter Sites' que afecta a la versión Freemius SDK hasta la 2.4.2, relacionada con la falta de comprobaciones de autorización. Esta vulnerabilidad tiene una gravedad media y puede comprometer la seguridad del sitio web.

Contexto técnico

El fallo radica en la ausencia de controles adecuados de autorización en el SDK de Freemius, lo que permite a usuarios no autorizados acceder a funciones restringidas del plugin. Esto amplía la superficie de ataque, permitiendo a un atacante potencial ejecutar acciones no permitidas en el sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante realizar acciones maliciosas, como acceder a datos sensibles o modificar configuraciones del plugin, lo que podría resultar en pérdidas económicas y de reputación para la empresa afectada.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que el sistema no valida correctamente, permitiendo así la ejecución de comandos o acceso a áreas restringidas del plugin.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.2.1 o superior, donde se han implementado las correcciones necesarias. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración del sitio.

Señales de detección

Se deben monitorizar los registros de acceso en busca de intentos inusuales de acceso a funciones del plugin, así como alertas sobre cambios no autorizados en la configuración del mismo.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones que utilicen el plugin 'Everse Starter Sites' con la versión Freemius SDK hasta la 2.4.2, publicada antes del 4 de marzo de 2022.