Metform Elementor Contact Form Builder <= 3.3.1 - Authenticated (Subscriber+) Information Disclosure via 'mf_transaction_id' shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin Metform Elementor Contact Form Builder, que afecta a las versiones hasta la 3.3.1. Este fallo permite a usuarios autenticados con rol de suscriptor o superior acceder a información sensible a través del shortcode 'mf_transaction_id'.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja el shortcode 'mf_transaction_id', permitiendo que usuarios con permisos limitados extraigan datos que no deberían estar a su alcance. Esto crea una superficie de ataque que puede ser aprovechada por usuarios malintencionados dentro de la instalación de WordPress.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la divulgación de información sensible que podría comprometer la privacidad de los usuarios y la integridad de los datos gestionados por el sitio. Esto podría resultar en pérdida de confianza por parte de los usuarios y posibles repercusiones legales.

Vector de explotación

La explotación se produce cuando un usuario autenticado, con rol de suscriptor o superior, utiliza el shortcode vulnerable para acceder a información que no debería estar disponible, lo que puede incluir datos de transacciones o detalles personales de otros usuarios.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Metform Elementor Contact Form Builder a la versión 3.3.2 o superior, donde se ha corregido la vulnerabilidad. Además, se sugiere revisar los permisos de los roles de usuario y limitar el acceso a información sensible.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a información sensible por parte de usuarios con rol de suscriptor, así como el uso frecuente del shortcode 'mf_transaction_id' en contextos no autorizados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Metform Elementor Contact Form Builder hasta la 3.3.1. La versión 3.3.2 y posteriores no están afectadas.