Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el SDK de Freemius, que permite la actualización no autorizada de opciones arbitrarias en el tema Bani. Esta falla afecta a las versiones anteriores a la 1.0.7 y presenta un alto riesgo de explotación.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para la actualización de opciones dentro del SDK de Freemius. Esto permite a un atacante modificar configuraciones sin los permisos necesarios, lo que puede comprometer la integridad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a cambios no autorizados en la configuración del sitio, lo que podría resultar en la pérdida de datos, desfiguración del sitio o incluso la toma de control total del mismo, afectando gravemente la reputación y la operativa del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas que no requieren autenticación para modificar las opciones del tema, lo que facilita la explotación.

Mitigación recomendada

Se recomienda actualizar el SDK de Freemius a la versión 1.0.7 o superior. Además, se debe revisar la configuración de permisos y aplicar medidas de seguridad adicionales en la gestión de opciones del tema.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración del tema, registros de actividad sospechosa en el sistema y alertas de seguridad sobre modificaciones no autorizadas.

Alcance afectado

Las versiones del SDK de Freemius hasta la 2.2.3 son vulnerables, afectando a cualquier instalación del tema Bani que utilice estas versiones.