Freemius SDK <= 2.5.9 - Reflected Cross-Site Scripting via fs_request_get

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Limb Gallery, específicamente en la versión Freemius SDK hasta la 2.5.9. Este fallo permite la inyección de scripts maliciosos, lo que representa un riesgo medio para la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin procesa las solicitudes a través de la función fs_request_get, permitiendo que un atacante inyecte código JavaScript que se ejecuta en el navegador de la víctima. Esto se considera un ataque de XSS reflejado, donde el script se ejecuta inmediatamente tras ser enviado por el atacante.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría robar información sensible, como cookies de sesión o credenciales de usuario, lo que podría comprometer la seguridad de la instalación y afectar la confianza de los usuarios en el sitio web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando un enlace malicioso que, al ser visitado por un usuario, ejecuta el script inyectado en su navegador, facilitando el robo de datos.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Limb Gallery a la versión 1.5.6 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y la utilización de Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen el tráfico inusual en las solicitudes a fs_request_get y la presencia de scripts no autorizados en las respuestas del servidor.

Alcance afectado

Las versiones afectadas son todas las versiones del Freemius SDK hasta la 2.5.9. Se recomienda a los administradores de WordPress que verifiquen si utilizan este plugin.