Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Easy Under Construction, específicamente en el SDK de Freemius hasta la versión 2.4.2, que carece de comprobaciones de autorización. Esta falla puede permitir a un atacante eludir restricciones de acceso en ciertas funcionalidades del plugin.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en el SDK de Freemius, lo que permite a usuarios no autenticados realizar acciones que deberían estar restringidas. Esto expone la superficie de ataque a posibles manipulaciones maliciosas en el plugin.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, con un CVSS de 6.3, lo que podría comprometer la seguridad de la instalación de WordPress y permitir accesos no autorizados a funcionalidades críticas, afectando la integridad y disponibilidad del sitio.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad enviando solicitudes maliciosas que aprovechen la falta de comprobaciones de autorización, permitiendo así realizar acciones no permitidas en el plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Easy Under Construction a la versión 4.0 o superior, donde se ha corregido este fallo. Además, se sugiere revisar las configuraciones de seguridad y permisos de acceso en el sitio.

Señales de detección

Señales de posible explotación incluyen intentos de acceso a funcionalidades restringidas del plugin desde direcciones IP no autorizadas o registros de actividad inusual en el panel de administración de WordPress.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.0 del plugin Easy Under Construction que utilizan el SDK de Freemius en versiones hasta la 2.4.2.