Freemius SDK <= 2.5.9 - Reflected Cross-Site Scripting via fs_request_get

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Cost Calculator Builder, específicamente en la versión del SDK de Freemius hasta la 2.5.9. Esta vulnerabilidad puede permitir a un atacante ejecutar scripts maliciosos en el contexto del usuario afectado.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las solicitudes a través de la función fs_request_get, permitiendo la inyección de código JavaScript malicioso. Esta vulnerabilidad se clasifica como XSS reflejado, lo que significa que el código malicioso se ejecuta inmediatamente tras la interacción del usuario con un enlace o un formulario comprometido.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante robar información sensible, como cookies de sesión o credenciales de usuario. Esto podría comprometer la seguridad de la instalación de WordPress y afectar la confianza de los usuarios en el sitio web.

Vector de explotación

La explotación suele realizarse mediante la creación de enlaces maliciosos que, al ser visitados por un usuario, ejecutan el código JavaScript inyectado. Esto puede lograrse a través de correos electrónicos de phishing o publicaciones en redes sociales.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Cost Calculator Builder a la versión 2.3.3 o superior. Además, se sugiere implementar medidas de seguridad como la validación y el saneamiento de entradas, así como el uso de Content Security Policy (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Señales que pueden indicar la explotación de esta vulnerabilidad incluyen la aparición de comportamientos inusuales en los usuarios, como redireccionamientos inesperados o la ejecución de scripts no autorizados en la consola del navegador.

Alcance afectado

Las versiones del plugin Cost Calculator Builder que son vulnerables son aquellas que utilizan el SDK de Freemius hasta la versión 2.5.9. No se ha especificado un rango de versiones anteriores a la 2.3.3 que no estén afectadas.