Freemius SDK <= 2.5.9 - Reflected Cross-Site Scripting via fs_request_get

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin BP Better Messages, específicamente en la versión del Freemius SDK hasta la 2.5.9. Esta vulnerabilidad permite la inyección de scripts maliciosos, lo que puede comprometer la seguridad de los usuarios afectados.

Contexto técnico

El fallo se origina en la forma en que el Freemius SDK gestiona las solicitudes a través de la función fs_request_get. La falta de validación adecuada de los parámetros de entrada permite que un atacante inyecte código JavaScript que se ejecutará en el contexto del navegador de la víctima, facilitando así ataques XSS reflejados.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts no autorizados en el navegador de un usuario, lo que podría resultar en el robo de información sensible, como cookies de sesión, o la redirección a sitios maliciosos. Esto podría afectar la reputación de la empresa y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando una solicitud manipulada que incluya parámetros maliciosos a la función fs_request_get. Si un usuario hace clic en un enlace o visita una página comprometida, el script inyectado se ejecutará en su navegador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin BP Better Messages a la versión 2.1.18 o superior. Además, se debe implementar una validación exhaustiva de las entradas y utilizar medidas de seguridad como Content Security Policy (CSP) para reducir el riesgo de XSS.

Señales de detección

Se pueden detectar intentos de explotación observando patrones inusuales en las solicitudes HTTP, especialmente aquellas que contienen parámetros inesperados o scripts en su contenido. También es recomendable revisar los registros de acceso para identificar accesos sospechosos.

Alcance afectado

Las versiones del Freemius SDK hasta la 2.5.9 son las afectadas. Esto incluye todas las instalaciones de BP Better Messages que utilizan esta versión del SDK.