Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'falta de comprobaciones de autorización' en el plugin Tier Pricing Table que utiliza Freemius SDK en versiones hasta la 2.4.2. Esta vulnerabilidad tiene una severidad media con un CVSS de 6.3.

Contexto técnico

El fallo se origina en la falta de controles adecuados para verificar las autorizaciones de los usuarios que intentan acceder a ciertas funcionalidades del plugin. Esto puede permitir a un atacante no autorizado realizar acciones que deberían estar restringidas.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de los datos y la seguridad del sitio, permitiendo a un atacante acceder a funciones administrativas o información sensible, lo que podría afectar negativamente la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que omiten las comprobaciones de autorización, lo que les permite ejecutar acciones no permitidas en el plugin.

Mitigación recomendada

Actualizar el plugin Tier Pricing Table a la versión 2.6.1 o superior para corregir la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar buenas prácticas de seguridad en la configuración del sitio.

Señales de detección

Monitorear registros de acceso y actividad del plugin para detectar patrones inusuales que puedan indicar intentos de explotación. Prestar atención a cualquier acceso no autorizado a funciones administrativas.

Alcance afectado

Las versiones del plugin Tier Pricing Table que son vulnerables abarcan todas las versiones hasta la 2.4.2. Las instalaciones que utilicen estas versiones están en riesgo.