Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin ReviewPress, específicamente en el SDK de Freemius, que permite actualizaciones no autorizadas de opciones arbitrarias. Esta falla, con una puntuación CVSS de 8.8, puede comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad radica en la falta de autorización adecuada en el SDK de Freemius, lo que permite a un atacante modificar configuraciones sin la debida validación de permisos. Esto expone la superficie de ataque a manipulaciones que pueden alterar el comportamiento del plugin y, por ende, del sitio web.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la alteración de configuraciones críticas del plugin, lo que podría resultar en una pérdida de control sobre el sitio, comprometiendo así la integridad y disponibilidad de los datos, así como la confianza de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que no requieren autenticación para modificar opciones del plugin. Esto puede hacerse mediante scripts automatizados o manualmente si se conoce la estructura de las solicitudes.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin ReviewPress a la versión 1.0.5 o superior. Además, se sugiere revisar las configuraciones de seguridad del servidor y aplicar medidas de hardening en la instalación de WordPress.

Señales de detección

Se deben monitorizar registros de acceso y error en busca de patrones inusuales que indiquen intentos de modificación de opciones del plugin. Alertas sobre cambios inesperados en la configuración también son señales de posible explotación.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del plugin ReviewPress que utilicen el SDK de Freemius hasta la versión 2.2.3. Es crucial verificar las instalaciones para determinar si están utilizando versiones vulnerables.