Fuente base de datos: Wordfence Intelligence

Freemius SDK <= 2.4.2 - Missing Authorization Checks

PLUGIN MEDIUM CVE-2022-4974

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Add Fields to Checkout Page for WooCommerce', relacionada con el SDK de Freemius en versiones anteriores a la 2.4.2. Esta vulnerabilidad, con un nivel de severidad medio, puede permitir accesos no autorizados a funciones críticas del plugin.

Contexto técnico

La vulnerabilidad se origina en la falta de comprobaciones de autorización en el SDK de Freemius, lo que permite a un atacante realizar acciones sin la debida validación de permisos. Esto afecta principalmente a la funcionalidad del plugin que gestiona campos adicionales en la página de pago de WooCommerce.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante obtenga acceso no autorizado a datos sensibles o realice acciones no permitidas, lo que podría comprometer la integridad de la tienda online y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas que no son debidamente verificadas, lo que les permite eludir los controles de acceso establecidos.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.2.7 o superior, donde se han implementado las correcciones necesarias. Además, se aconseja revisar los permisos de usuario y realizar auditorías de seguridad periódicas.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales a funciones administrativas del plugin y cambios no autorizados en los campos de pago.

Alcance afectado

Las versiones afectadas son aquellas que utilizan el SDK de Freemius en versiones anteriores a la 2.4.2, antes de la corrección publicada el 4 de marzo de 2022.