Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Web Disrupt Funnelmentals que permite la actualización no autorizada de opciones arbitrarias. Esta falla afecta a la versión Freemius SDK hasta la 2.2.3 y tiene un alto nivel de severidad con un CVSS de 8.8.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados en el Freemius SDK, lo que permite a un atacante realizar actualizaciones de opciones sin la debida autorización. Esto puede comprometer la integridad de la configuración del plugin y, potencialmente, del sitio completo.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a un atacante modificar configuraciones críticas, lo que podría llevar a la pérdida de datos, alteraciones en el funcionamiento del sitio o incluso a una toma de control total del mismo. Esto puede repercutir negativamente en la confianza de los usuarios y en la reputación de la empresa.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes maliciosas que no son verificadas adecuadamente, lo que les permite realizar cambios en la configuración del plugin sin necesidad de autenticación.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Web Disrupt Funnelmentals a la versión 1.2.9 o superior. Además, es aconsejable revisar y reforzar las configuraciones de seguridad del sitio, implementando controles de acceso más estrictos.

Señales de detección

Se pueden detectar intentos de explotación mediante registros de acceso inusuales o cambios inesperados en la configuración del plugin. También se debe prestar atención a las alertas de seguridad que indiquen modificaciones no autorizadas.

Alcance afectado

Las versiones afectadas son todas las versiones del Freemius SDK hasta la 2.2.3. Se recomienda a todos los usuarios de este plugin que realicen la actualización correspondiente.