Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin 'Bulk Image Alt Text with Yoast' relacionada con el SDK de Freemius, que permite omitir comprobaciones de autorización. Esta vulnerabilidad tiene una gravedad media con un puntaje CVSS de 6.3.

Contexto técnico

La vulnerabilidad se origina en el SDK de Freemius en versiones anteriores a la 2.4.2, donde las comprobaciones de autorización no se aplican correctamente. Esto permite a un atacante potencial acceder a funciones restringidas del plugin sin la debida autenticación.

Impacto potencial

El impacto de esta vulnerabilidad puede comprometer la seguridad de la instalación de WordPress, permitiendo accesos no autorizados a configuraciones críticas del plugin. Esto podría resultar en la manipulación de contenido o en la exposición de datos sensibles.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas al servidor, aprovechando la falta de comprobaciones de autorización para ejecutar acciones no permitidas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Bulk Image Alt Text with Yoast' a la versión 1.4.5.0 o superior. Además, se sugiere revisar las configuraciones de seguridad y aplicar medidas de hardening en la instalación de WordPress.

Señales de detección

Señales de posible explotación incluyen registros de acceso inusuales a funciones del plugin, así como cambios no autorizados en la configuración del mismo.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.5.0 del plugin 'Bulk Image Alt Text with Yoast'.