Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Ethereum Wallet, específicamente en el Freemius SDK hasta la versión 2.4.2, que carece de comprobaciones de autorización adecuadas. Esta vulnerabilidad, catalogada como de severidad media, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en el Freemius SDK, lo que permite que usuarios no autorizados realicen acciones que deberían estar restringidas. Esto aumenta la superficie de ataque, ya que un atacante podría acceder a funciones críticas sin la debida autorización.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante obtenga acceso no autorizado a funcionalidades del plugin, lo que podría resultar en la exposición de datos sensibles o en la manipulación de la configuración del plugin. Esto podría afectar la confianza de los usuarios y la integridad del negocio.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad enviando solicitudes maliciosas que omitan las comprobaciones de autorización, permitiendo así la ejecución de acciones no permitidas dentro del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el Freemius SDK a la versión 4.0.9 o superior. Además, es aconsejable revisar y reforzar las configuraciones de seguridad del plugin y realizar auditorías periódicas de las autorizaciones.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del plugin, accesos no autorizados a funciones restringidas y registros de actividad inusuales en el sistema.

Alcance afectado

Las versiones del Freemius SDK hasta la 2.4.2 están afectadas, lo que incluye todas las instalaciones que utilizan este plugin en su versión vulnerable.