Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo 'Falta de Comprobaciones de Autorización' en el plugin WP Books Gallery, específicamente en la versión del SDK de Freemius hasta la 2.4.2. Esta vulnerabilidad, catalogada con una severidad media, podría permitir accesos no autorizados a ciertas funcionalidades del plugin.

Contexto técnico

El fallo se origina en la falta de controles adecuados que verifiquen la autorización de los usuarios en el SDK de Freemius. Esto permite que usuarios no autenticados o con privilegios insuficientes accedan a funciones que deberían estar restringidas, aumentando la superficie de ataque del plugin.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de los datos y la seguridad del sitio web, permitiendo a un atacante realizar acciones no autorizadas. Esto podría llevar a la pérdida de información sensible o a la manipulación de la funcionalidad del plugin, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad enviando solicitudes maliciosas al servidor que no son correctamente validadas, accediendo así a funciones restringidas sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Books Gallery a la versión 3.6 o superior, donde se han implementado las correcciones necesarias. Además, es aconsejable revisar y reforzar las políticas de autorización y autenticación en el sitio.

Señales de detección

Señales de posible explotación incluyen intentos de acceso a funciones restringidas desde direcciones IP no autorizadas o patrones inusuales de tráfico que indiquen un escaneo de vulnerabilidades.

Alcance afectado

Las versiones del plugin WP Books Gallery que utilizan el SDK de Freemius hasta la 2.4.2 son las afectadas. La vulnerabilidad fue publicada el 4 de marzo de 2022.