Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Widgets for SiteOrigin', específicamente en la versión del Freemius SDK hasta la 2.2.3, que permite la actualización no autorizada de opciones arbitrarias. Esta falla puede comprometer seriamente la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el Freemius SDK, lo que permite a un atacante modificar opciones del plugin sin el permiso necesario. Esto representa una superficie de ataque significativa, ya que puede ser explotada por usuarios no autenticados.

Impacto potencial

El impacto de esta vulnerabilidad es alto, ya que permite a un atacante realizar cambios en la configuración del plugin, lo que podría resultar en la alteración del comportamiento del sitio web, pérdida de datos o incluso la toma de control del mismo. Esto puede afectar la reputación y la operatividad del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas que no requieren autenticación, lo que les permite realizar cambios en la configuración del plugin sin ser detectados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Widgets for SiteOrigin' a la versión 1.4.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la revisión de permisos y la instalación de un firewall de aplicaciones web.

Señales de detección

Señales de riesgo incluyen cambios inesperados en la configuración del plugin, accesos no autorizados a opciones administrativas y alertas de seguridad generadas por herramientas de monitoreo.

Alcance afectado

Las versiones afectadas son aquellas que utilizan el Freemius SDK hasta la 2.2.3, lo que incluye múltiples instalaciones de 'Widgets for SiteOrigin' que no han sido actualizadas desde la publicación de esta vulnerabilidad el 25 de febrero de 2019.