Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad de alta gravedad en el plugin Addendio, específicamente en la versión Freemius SDK hasta la 2.2.3, que permite la actualización no autorizada de opciones arbitrarias. Esta vulnerabilidad podría comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en la falta de controles de autorización adecuados en el Freemius SDK, lo que permite a un atacante modificar configuraciones críticas del plugin sin la debida validación. Esto expone la superficie de ataque a usuarios malintencionados que puedan acceder a las funciones del plugin.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que permite a un atacante no autorizado realizar cambios en la configuración del plugin, lo que podría llevar a la pérdida de datos, alteraciones en el funcionamiento del sitio o incluso a la toma de control del mismo.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante el envío de solicitudes maliciosas que aprovechan la falta de autorización, permitiendo la modificación de opciones del plugin sin restricciones.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Addendio a la versión 1.2.2 o superior. Además, se sugiere implementar medidas de hardening, como revisar las configuraciones de seguridad y limitar el acceso a las funciones del plugin.

Señales de detección

Señales de riesgo pueden incluir cambios inesperados en las configuraciones del plugin, registros de acceso no autorizados o actividad sospechosa en el sitio que no concuerde con el uso habitual.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.2.2 del plugin Addendio que utilizan el Freemius SDK hasta la versión 2.2.3.