Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Mobile Menu que afecta a versiones anteriores a 2.2.3, permitiendo actualizaciones no autorizadas de opciones arbitrarias. Esta falla tiene un alto potencial de explotación, con un CVSS de 8.8.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en el Freemius SDK, que permite a un atacante modificar opciones de configuración sin los permisos necesarios. Esto expone a los sitios a cambios no deseados en su funcionalidad.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a los atacantes realizar cambios que podrían afectar la operativa del negocio y la seguridad de los datos de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes maliciosas que no requieren autenticación, lo que facilita la modificación de configuraciones críticas del plugin.

Mitigación recomendada

Actualizar el plugin Mobile Menu a la versión 2.7.3 o superior para cerrar la vulnerabilidad. Además, se recomienda revisar las configuraciones de seguridad y los permisos de acceso a los plugins instalados.

Señales de detección

Monitorear registros de acceso y cambios en la configuración del plugin, así como alertas de actividad inusual que puedan indicar intentos de explotación.

Alcance afectado

Las versiones del plugin Mobile Menu anteriores a la 2.7.3 son las afectadas por esta vulnerabilidad.