Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'falta de comprobaciones de autorización' en el plugin Addons for Visual Composer, afectando a la versión Freemius SDK hasta la 2.4.2. Esta vulnerabilidad, clasificada como de severidad media, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la ausencia de controles adecuados que verifiquen la autorización de los usuarios al acceder a ciertas funciones del plugin. Esto permite que usuarios no autorizados puedan realizar acciones que deberían estar restringidas, aumentando la superficie de ataque.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a atacantes no autenticados ejecutar acciones no permitidas, lo que podría resultar en la modificación de datos o la ejecución de comandos maliciosos. Esto puede afectar tanto la integridad de los datos como la confianza de los usuarios en el sitio web.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se lleva a cabo mediante el envío de solicitudes maliciosas a las funciones del plugin que no cuentan con las comprobaciones de autorización necesarias, permitiendo así el acceso no autorizado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Addons for Visual Composer a la versión 2.9.2 o superior, donde se han implementado las correcciones necesarias. Además, es aconsejable revisar las configuraciones de seguridad y realizar auditorías periódicas de los plugins instalados.

Señales de detección

Las señales que pueden indicar un riesgo de explotación incluyen actividades inusuales en los registros de acceso, intentos de acceso a funciones restringidas y cambios no autorizados en el contenido del sitio.

Alcance afectado

Las versiones del plugin Addons for Visual Composer que se encuentran afectadas son todas las anteriores a la 2.9.2, específicamente aquellas que utilizan Freemius SDK hasta la versión 2.4.2.