Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Kanzu Support Desk, que permite la actualización no autorizada de opciones arbitrarias. Esta falla afecta a las versiones anteriores a la 2.4.7 y tiene un CVSS de 8.8, lo que indica un alto nivel de riesgo.

Contexto técnico

La vulnerabilidad radica en la falta de autorización adecuada en el Freemius SDK, lo que permite a un atacante modificar opciones del plugin sin los permisos necesarios. Esto puede comprometer la configuración y funcionalidad del plugin, así como la seguridad general del sitio.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante altere configuraciones críticas del plugin, lo que podría llevar a la pérdida de datos, desconfiguración del servicio y, en última instancia, afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, esta vulnerabilidad se explota enviando solicitudes maliciosas que no requieren autenticación, lo que permite realizar cambios en la configuración del plugin sin restricciones.

Mitigación recomendada

Se recomienda actualizar el plugin Kanzu Support Desk a la versión 2.4.7 o superior. Además, se sugiere revisar las configuraciones de seguridad del plugin y aplicar medidas de hardening adicionales en el entorno de WordPress.

Señales de detección

Señales de riesgo pueden incluir cambios inesperados en la configuración del plugin, alertas de actividad inusual en los registros de acceso y reportes de errores relacionados con la funcionalidad del plugin.

Alcance afectado

Las versiones del plugin Kanzu Support Desk anteriores a la 2.4.7 están afectadas por esta vulnerabilidad. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión actual.