Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Yandex Money Button, específicamente en el SDK de Freemius hasta la versión 2.4.2, que presenta fallos en los controles de autorización. Esta vulnerabilidad tiene una severidad media y un score CVSS de 6.3.

Contexto técnico

El fallo se origina por la falta de controles de autorización adecuados en el SDK de Freemius, lo que permite a usuarios no autorizados realizar acciones que deberían estar restringidas. Esto amplía la superficie de ataque, permitiendo potencialmente accesos no deseados.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los datos de los usuarios y afectar la integridad de las transacciones. Además, podría tener repercusiones negativas en la reputación del negocio y en la confianza de los clientes.

Vector de explotación

La vulnerabilidad puede ser explotada mediante el envío de solicitudes maliciosas que el sistema no valida correctamente, permitiendo a un atacante eludir los controles de acceso establecidos.

Mitigación recomendada

Se recomienda actualizar el plugin Yandex Money Button a la última versión disponible que solucione esta vulnerabilidad. Además, se deben implementar controles de autorización más estrictos y revisar las configuraciones de seguridad del sistema.

Señales de detección

Señales de riesgo incluyen registros de accesos no autorizados o inusuales, así como actividades sospechosas en las transacciones realizadas a través del plugin.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones que utilicen el SDK de Freemius en versiones hasta la 2.4.2. No se dispone de información sobre versiones específicas en las que se introdujo o se solucionó el problema.