Form Maker by 10Web <= 1.13.35 - SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Form Maker de 10Web, que afecta a versiones anteriores a la 1.13.36. Esta vulnerabilidad, catalogada con una severidad alta, permite a un atacante ejecutar consultas SQL maliciosas en la base de datos.

Contexto técnico

La vulnerabilidad se produce debido a una falta de validación adecuada de las entradas del usuario, lo que permite la inyección de código SQL. Esto afecta a la superficie de ataque del plugin, permitiendo que un atacante manipule las consultas a la base de datos.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que puede permitir a un atacante acceder, modificar o eliminar datos en la base de datos del sitio web, comprometiendo así la integridad y la confidencialidad de la información almacenada.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que incluyen código SQL malicioso, generalmente a través de formularios que no validan correctamente las entradas del usuario.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Form Maker a la versión 1.13.36 o superior. Además, se deben implementar medidas de validación de entradas y sanitización de datos en todos los formularios del sitio.

Señales de detección

Señales de posible explotación incluyen registros de errores de SQL en el servidor, solicitudes inusuales en los formularios y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.13.36 del plugin Form Maker de 10Web.