Metform Elementor Contact Form Builder <= 3.3.1 - Authenticated (Subscriber+) Information Disclosure via mf_last_name shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin Metform Elementor Contact Form Builder, que afecta a las versiones hasta la 3.3.1. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior acceder a información sensible a través del shortcode mf_last_name.

Contexto técnico

La vulnerabilidad se origina en la forma en que el shortcode mf_last_name procesa y muestra datos, lo que permite que se revele información que debería estar restringida a usuarios con permisos adecuados. Esto representa una superficie de ataque que puede ser aprovechada por usuarios con acceso limitado.

Impacto potencial

El impacto de esta vulnerabilidad es medio, ya que permite la divulgación de información sensible, lo que podría comprometer la privacidad de los usuarios y la integridad de la plataforma. Esto podría resultar en pérdida de confianza por parte de los usuarios y posibles repercusiones legales si se divulga información personal.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la inserción del shortcode mf_last_name en una página o entrada accesible para el usuario autenticado, permitiendo así la visualización de datos no autorizados.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Metform Elementor Contact Form Builder a la versión 3.3.2 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de hardening en la configuración de WordPress.

Señales de detección

Las señales de que esta vulnerabilidad podría estar siendo explotada incluyen accesos no autorizados a información sensible en formularios, así como la aparición de comportamientos anómalos en las cuentas de usuario con rol de suscriptor o superior.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 3.3.2. Es importante verificar las instalaciones que utilizan este plugin para asegurar que se encuentren actualizadas.