Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Freemius SDK, que permite la actualización no autorizada de opciones arbitrarias. Esta falla afecta a las versiones hasta la 2.2.3 y se considera de alta gravedad con un CVSS de 8.8.

Contexto técnico

El fallo se origina en la falta de controles de autorización que impiden que un atacante realice cambios en las configuraciones del plugin. Esto puede ser aprovechado a través de peticiones maliciosas que no requieren autenticación previa.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de la configuración del plugin, permitiendo a un atacante modificar opciones críticas que pueden afectar el funcionamiento del sitio web y la seguridad de los datos del usuario.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes directas al servidor que ejecuta el plugin, aprovechando la falta de verificación de permisos para realizar cambios no autorizados.

Mitigación recomendada

Actualizar el plugin Freemius SDK a la versión 1.0.0 o superior. Además, se recomienda revisar las configuraciones de seguridad y aplicar medidas de hardening en el servidor para protegerse contra accesos no autorizados.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración del plugin y registros de acceso inusuales que indiquen intentos de modificación por parte de usuarios no autorizados.

Alcance afectado

Las versiones del plugin Freemius SDK hasta la 2.2.3 están afectadas. Es importante verificar todas las instalaciones que utilizan este plugin para asegurar que se encuentren actualizadas.