Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Press Elements relacionada con el SDK de Freemius, que permite la actualización no autorizada de opciones arbitrarias. Esta falla tiene una puntuación CVSS de 8.8, lo que indica un alto nivel de riesgo.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el SDK de Freemius, que afecta a las versiones del plugin Press Elements anteriores a la 1.7.2. Esto permite a un atacante modificar opciones del plugin sin la debida autorización, lo que expone la instalación a riesgos adicionales.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante no autorizado realizar cambios en la configuración del plugin, lo que podría comprometer la seguridad de todo el sitio web y afectar la integridad de los datos.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes maliciosas que no requieren autenticación, lo que les permite modificar opciones del plugin de manera arbitraria.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Press Elements a la versión 1.7.2 o superior. Además, se deben revisar las configuraciones de seguridad y aplicar medidas de hardening en la instalación de WordPress.

Señales de detección

Señales de posible explotación incluyen cambios no autorizados en la configuración del plugin, así como registros de actividad inusual en el acceso a opciones del mismo.

Alcance afectado

Las versiones del plugin Press Elements anteriores a la 1.7.2 son las que se ven afectadas por esta vulnerabilidad.