Freemius SDK <= 2.4.2 - Missing Authorization Checks

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin WP Awesome FAQ, específicamente en la versión del SDK de Freemius hasta la 2.4.2, que carece de controles de autorización. Esta vulnerabilidad, clasificada como de severidad media, puede permitir accesos no autorizados a ciertas funcionalidades del plugin.

Contexto técnico

La vulnerabilidad se origina por la falta de comprobaciones adecuadas de autorización en el SDK de Freemius, lo que permite a un atacante potencial acceder a funciones restringidas sin la debida autenticación. Esto afecta a la superficie de ataque del plugin, ya que se pueden explotar las debilidades en la gestión de permisos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante no autenticado realizar acciones que normalmente estarían restringidas. Esto podría comprometer la integridad de los datos y la seguridad del sitio, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo mediante el envío de solicitudes manipuladas a las funciones del plugin que no cuentan con las adecuadas verificaciones de autorización, permitiendo así que un atacante realice acciones no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP Awesome FAQ a la versión 4.1.8 o superior, donde se han implementado los controles de autorización necesarios. Además, es aconsejable revisar las configuraciones de seguridad y permisos de acceso del plugin.

Señales de detección

Se deben estar atentos a comportamientos inusuales en los registros de acceso, como intentos de acceso a funciones restringidas sin la debida autenticación, así como cualquier actividad sospechosa que pueda indicar un intento de explotación.

Alcance afectado

Las versiones del plugin WP Awesome FAQ afectadas son aquellas que utilizan el SDK de Freemius hasta la versión 2.4.2. La vulnerabilidad se publicó el 4 de marzo de 2022.