Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'falta de comprobaciones de autorización' en el SDK de Freemius, afectando a versiones anteriores a la 2.4.2. Esta vulnerabilidad presenta un nivel de gravedad medio y puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad radica en la ausencia de controles adecuados para verificar la autorización de los usuarios en el SDK de Freemius, lo que podría permitir a actores maliciosos realizar acciones no autorizadas en el sistema.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede incluir accesos no autorizados a funciones del plugin, lo que podría derivar en la manipulación de datos o la ejecución de acciones maliciosas que afecten la integridad y disponibilidad del sitio web.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas que el sistema no valida correctamente, permitiendo así la ejecución de operaciones no permitidas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el SDK de Freemius a la versión 5.135 o superior, así como revisar las configuraciones de autorización en el plugin para asegurar que se implementen controles adecuados.

Señales de detección

Se pueden observar comportamientos inusuales en los registros de acceso, como intentos de acceso a funciones restringidas o cambios no autorizados en la configuración del plugin.

Alcance afectado

Las versiones del SDK de Freemius hasta la 2.4.2 son las que se encuentran afectadas, por lo que se debe verificar la versión instalada en cada sitio web que utilice este componente.