Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'Falta de comprobaciones de autorización' en el plugin 3D Viewer, específicamente en la versión del Freemius SDK hasta la 2.4.2. Esta vulnerabilidad tiene una gravedad media, con un CVSS de 6.3.

Contexto técnico

El fallo se origina en la falta de controles adecuados para verificar las autorizaciones de los usuarios en ciertas funciones del plugin. Esto permite que usuarios no autorizados accedan a funcionalidades restringidas, aumentando la superficie de ataque.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante realizar acciones no autorizadas, comprometiendo la integridad de los datos y la seguridad del sitio. Esto podría traducirse en pérdidas económicas y de reputación para las organizaciones afectadas.

Vector de explotación

Generalmente, los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a las funciones del plugin que no tienen las comprobaciones de autorización adecuadas, lo que les permite eludir las restricciones de acceso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 3D Viewer a la versión 1.2.7 o superior, donde se han implementado las correcciones necesarias. Además, se sugiere revisar los permisos de usuario y realizar auditorías de seguridad periódicas.

Señales de detección

Se pueden detectar intentos de explotación a través de registros de acceso inusuales o solicitudes a endpoints del plugin que no deberían ser accesibles por usuarios no autenticados.

Alcance afectado

Las versiones del plugin 3D Viewer que utilizan Freemius SDK hasta la 2.4.2 son las afectadas. Se debe prestar especial atención a las instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 4 de marzo de 2022.