Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'falta de comprobaciones de autorización' en el Freemius SDK, que afecta a versiones hasta la 2.4.2. Esta vulnerabilidad podría permitir accesos no autorizados a ciertas funcionalidades del plugin.

Contexto técnico

La vulnerabilidad se encuentra en las rutas REST del Freemius SDK, donde no se implementan adecuadamente las comprobaciones de autorización. Esto permite que usuarios no autenticados puedan realizar acciones que deberían estar restringidas.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, con un CVSS de 6.3, lo que podría comprometer la integridad de los datos y la seguridad de la instalación de WordPress, afectando así la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes REST maliciosas que no requieren autenticación, lo que les permite acceder a funcionalidades restringidas del plugin.

Mitigación recomendada

Actualizar el Freemius SDK a la versión 4.24.0 o superior para corregir la falta de comprobaciones de autorización. Además, se recomienda revisar las configuraciones de seguridad del plugin y realizar auditorías periódicas.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes REST inusuales o accesos a funcionalidades que no deberían estar disponibles para usuarios no autenticados.

Alcance afectado

Las versiones del Freemius SDK hasta la 2.4.2 son las afectadas. Es fundamental verificar la versión instalada en cada instalación de WordPress que utilice este plugin.