JetFormBuilder <= 3.0.6 - Cross-Site Request Fogery via 'do_admin_action'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin JetFormBuilder, que afecta a las versiones hasta la 3.0.6. Esta vulnerabilidad permite a un atacante ejecutar acciones administrativas no autorizadas en el sitio web afectado.

Contexto técnico

El fallo se origina en la función 'do_admin_action' del plugin, que no valida adecuadamente las solicitudes, permitiendo a un atacante enviar peticiones maliciosas que pueden ser ejecutadas con los privilegios del administrador.

Impacto potencial

El impacto potencial es medio, ya que un atacante podría realizar cambios no autorizados en la configuración del plugin o en los formularios, comprometiendo la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la creación de un enlace o un script que, al ser activado por un usuario autenticado, ejecuta acciones maliciosas sin su consentimiento.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin JetFormBuilder a la versión 3.0.7 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la validación de tokens CSRF y la revisión de los permisos de usuario.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en la configuración del plugin o en los formularios, así como registros de actividad sospechosa en el panel de administración.

Alcance afectado

Las versiones del plugin JetFormBuilder hasta la 3.0.6 son las que están afectadas por esta vulnerabilidad. Las instalaciones que no han actualizado a la versión 3.0.7 o superior corren el riesgo de ser explotadas.