Freemius SDK <= 2.5.9 - Reflected Cross-Site Scripting via fs_request_get

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el SDK de Freemius, afectando a versiones hasta la 2.5.9. Esta vulnerabilidad permite la inyección de scripts maliciosos a través de la función fs_request_get.

Contexto técnico

La vulnerabilidad se origina en la forma en que el SDK de Freemius maneja las solicitudes, permitiendo que un atacante inyecte código JavaScript malicioso que se ejecuta en el navegador de un usuario. Esto se produce debido a la falta de validación adecuada de los parámetros de entrada en la función mencionada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del usuario afectado, lo que podría resultar en el robo de información sensible, suplantación de identidad y otros ataques dirigidos. La severidad se clasifica como media, con un CVSS de 6.1.

Vector de explotación

La explotación de esta vulnerabilidad se realiza normalmente mediante la manipulación de las solicitudes enviadas al servidor, aprovechando la falta de sanitización de los datos. Un atacante podría crear un enlace malicioso que, al ser visitado, desencadene la ejecución del script inyectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el SDK de Freemius a la versión 5.7.1 o superior. Además, se deben implementar prácticas de codificación seguras, como la validación y sanitización de todos los datos de entrada y la utilización de cabeceras de seguridad adecuadas.

Señales de detección

Señales de posible explotación incluyen la detección de solicitudes inusuales que contengan parámetros manipulados o la aparición de comportamientos extraños en los navegadores de los usuarios, como redirecciones inesperadas o la ejecución de scripts no autorizados.

Alcance afectado

Las versiones del SDK de Freemius hasta la 2.5.9 son vulnerables. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y realicen la actualización correspondiente.