Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el tema ConsultPress Lite relacionada con el SDK de Freemius, que permite la actualización no autorizada de opciones arbitrarias. Esta falla, con un CVSS de 8.8, representa un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en el SDK de Freemius, versión 2.2.3 o anterior, que carece de controles adecuados de autorización. Esto permite a un atacante modificar opciones dentro del tema sin la debida validación de permisos, lo que puede comprometer la integridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante alterar configuraciones críticas del tema, lo que podría llevar a la desactivación de funciones de seguridad, la inyección de código malicioso o la pérdida de datos. Esto podría resultar en daños a la reputación y pérdidas económicas para el negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas para actualizar opciones dentro del tema sin la debida autorización, lo que les permite modificar la configuración del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el SDK de Freemius a la versión 1.2.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de permisos en las actualizaciones de opciones y la revisión regular de los permisos de usuario.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en la configuración del tema, registros de actividad inusual en el sistema de gestión de contenido y alertas de seguridad relacionadas con la modificación de opciones.

Alcance afectado

Las versiones del tema ConsultPress Lite que utilizan el SDK de Freemius hasta la versión 2.2.3 están afectadas por esta vulnerabilidad. Se recomienda a los administradores de sitios que verifiquen las versiones de sus instalaciones.