Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el SDK de Freemius, presente en el tema ConsultPress Lite, que carece de comprobaciones de autorización. Esta vulnerabilidad, con una puntuación CVSS de 6.3, puede comprometer la seguridad del sitio web si no se gestiona adecuadamente.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en el SDK de Freemius, lo que permite a usuarios no autenticados realizar acciones que deberían estar restringidas. Esto afecta principalmente a la forma en que se gestionan las interacciones con la API del SDK.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante no autenticado acceda a funciones críticas del tema, lo que podría llevar a la modificación de contenido o la exposición de datos sensibles, afectando gravemente la integridad y la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas a la API del SDK sin necesidad de autenticación. Esto les permite ejecutar acciones no autorizadas en el sitio web.

Mitigación recomendada

Se recomienda actualizar el SDK de Freemius a la versión más reciente que corrija esta vulnerabilidad. Además, se sugiere implementar controles de acceso adicionales y revisar las configuraciones de seguridad del tema ConsultPress Lite.

Señales de detección

Se deben monitorizar los registros de acceso y las solicitudes a la API del SDK en busca de patrones inusuales que indiquen intentos de explotación, como accesos no autorizados o acciones no esperadas.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del tema ConsultPress Lite que utilizan el SDK de Freemius en versiones iguales o anteriores a 2.4.2.