Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Master Blocks, específicamente en la versión del Freemius SDK hasta la 2.2.3, que permite actualizaciones no autorizadas de opciones arbitrarias. Esta falla puede ser explotada por atacantes para modificar configuraciones del plugin sin los permisos adecuados.

Contexto técnico

La vulnerabilidad radica en la falta de autorización adecuada para la actualización de opciones dentro del Freemius SDK. Esto permite que un atacante, sin necesidad de autenticación, realice cambios en la configuración del plugin, lo que podría comprometer su funcionamiento y seguridad.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que podría permitir a un atacante modificar configuraciones críticas del plugin, lo que podría llevar a la desactivación de funciones esenciales o incluso a la ejecución de código malicioso. Esto podría resultar en la pérdida de datos o en un acceso no autorizado a la información del sitio web.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que no requieren autenticación, lo que les permite modificar opciones del plugin sin restricciones.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Master Blocks a la versión 1.0.4 o superior. Además, se debe revisar la configuración de permisos y asegurarse de que solo los usuarios autorizados tengan acceso a las opciones del plugin.

Señales de detección

Se deben monitorizar registros de acceso y cambios en la configuración del plugin, así como cualquier actividad inusual que sugiera intentos de explotación de la vulnerabilidad.

Alcance afectado

Las versiones del plugin Master Blocks que utilizan Freemius SDK hasta la 2.2.3 son las afectadas. Se recomienda verificar la versión instalada en todas las instalaciones del plugin.