Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin CP Image Gallery relacionada con el SDK de Freemius, que permite actualizaciones no autorizadas de opciones arbitrarias. Esta falla afecta a versiones anteriores a la 1.0.1 y presenta un alto riesgo de explotación.

Contexto técnico

La vulnerabilidad radica en la falta de autorización adecuada en el SDK de Freemius, lo que permite a un atacante modificar configuraciones del plugin sin el debido control de acceso. Esta debilidad se manifiesta en la superficie de ataque del plugin, facilitando la manipulación de opciones del sistema.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante realizar cambios no autorizados en la configuración del plugin, lo que podría comprometer la integridad del sitio web y afectar la confianza de los usuarios. Además, el alto CVSS de 8.8 indica un riesgo significativo para la seguridad general del sistema.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad mediante la ejecución de solicitudes maliciosas que no requieren autenticación, lo que les permitiría modificar opciones del plugin de forma remota.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin CP Image Gallery a la versión 1.0.1 o superior. Además, es aconsejable revisar y reforzar las configuraciones de seguridad del sitio y realizar auditorías periódicas de los plugins instalados.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del plugin o en las opciones de Freemius, así como un aumento en las solicitudes HTTP que intentan modificar configuraciones sin autorización.

Alcance afectado

Las versiones afectadas son todas aquellas anteriores a la 1.0.1 del plugin CP Image Gallery, publicado antes del 25 de febrero de 2019.